艦これ検証部騒動これくしょん-検これ-

ktgohan @ktgohan

ざっくり3行。 ・艦これのゲームAPIはそのほぼ全てにアクセストークン値が載る。 ・検証DB対応ブラウザはAPIのデータをそのまま送るので、何もしてなければアクセストークン値も送信される。 ・もし第三者にアクセストークン値等を奪取されると成りすましされる恐れあり。

ktgohan @ktgohan

つまり検証DB対応ブラウザ側でトークン値を個別にマスクしてから送信する処理が入っていないと、検証DBにトークン値も送信されてしまうことになる。で、検証DBの持ち主たる検証部の中の人たちが集めたデータをストイックに扱ってくれているかわからなくなったので、ここを懸念している。

ktgohan @ktgohan

で、ソースコードが公開されている「七四式電子観測儀」（ブルネイ工廠電気実験部さん作）は、統計DB・検証DBへの送信を行う直前にトークン値を "" に置き換える処理が（ソースコード上で）確認できるので、そこについては大丈夫だと思います。他は確認していません。

ktgohan @ktgohan

検証DBは「データ量が膨大なため、解析作業時はサーバから一度解析者のローカルPCにデータをダウンロードしている」という話が出てきたことで、もう一つ懸念があると考える。もしトークンを送信前にマスクしてない検証DB対応ブラウザがあった場合、トークン値が予期せぬ形で漏れるリスクがある。

ktgohan @ktgohan

検証DB側の人たちが、もし「データ受信時にトークン値が来たとしても全部マスクしてます」って仰ったとしてもここ数日の経緯を鑑みるとそのまま飲み込んで信用できるほどおれピュアじゃない。なので「送信時にちゃんとマスクされてるかな」と心配になった。以上。あくまでおれが心配してるだけ。

ktgohan @ktgohan

アクセストークン値ってつまり認証情報ですから、「これを大規模に収集している奴らがいます」という座組がもし完成してしまったら、そのアクセストークンの正当な払出元たるDMMは検証DBを堂々と（法的に）締めに行けると思いますよ。ほかのゲームデータ（API返却値）等とは話の次元が違う。

ktgohan @ktgohan

「認証用トークン値を第三者にコピーさせることが可能なシステムが大規模に動いていて、しかもその中の人が公式と揉めてる」こんなおっかない話がそうそうあるかいな。で、前にも書いた話ですけど『グレーにしておいたほうがよいものをグレーにする努力を怠った人たち』はろくなことしませんなあ。

ktgohan @ktgohan

あ。そういえばそうでした。すみません。ご指摘をいただきましてありがとうございますというかまさかのまさらっき氏登場(;´Д｀) twitter.com/masarakki/stat…

まさらっき 土曜西さ39b @masarakki

アクセストークンの払い出し元はDMMじゃないですよ twitter.com/ktgohan/status…

2016-06-02 22:00:45

Yuki（だめにんげんだもの） @MSA0011Ext

ソースが公開されている検証部作の艦これViewerプラグインのソースを眺めているけど、検証部DBへデータ送信する前にアクセストークンの削除はしている。が、それしかやってない。つまりそれ以外のデータは送信されていそう。

Yuki（だめにんげんだもの） @MSA0011Ext

検証部DBのURIが分かれば、hostsを書き換えるなりして検証部DBではない別のところ(ローカルホストが安全？)に飛ばして、その間でパケットキャプチャ仕掛ければどんなデータを送ってるのか筒抜けにできるかもしれん。

Yuki（だめにんげんだもの） @MSA0011Ext

気になるのが、初期化時OSバージョンとかをプロセッサIDを取得してる点。WEBプログラムって作ったことないから知らんけど、たかが通信データを他のDBに送りつけるのに、その辺の情報って必要なの？

Yuki（だめにんげんだもの） @MSA0011Ext

ああ、でも接続確立時にサーバ側から応答ないとダメかもしれんな。調査のために専ブラを使うのはやむなしと割り切ろうと考えてたけど、絶対に検証部DBには繋げたくないんだよなあ。

Yuki（だめにんげんだもの） @MSA0011Ext

うーん、テレメトリの初期化でOSバージョンとかプロセッサIDとかが必要なんかな。とりあえずテレメトリ自体は関係ないのかも。艦これの通信をフックしてるプロキシにクライアントソフトだけでなくKCVDBにも通信内容を送るようにしてんのかな。

Yuki（だめにんげんだもの） @MSA0011Ext

へぇー、そんな機能あるんだ。 msdn.microsoft.com/ja-jp/library/…

Yuki（だめにんげんだもの） @MSA0011Ext

DMMへのログイン情報まで送ってるかどうかはわからんな。通信をフックするためのプロキシがDMMのログイン認証を抜けた後に作られているなら送りようがないけど…。

logicerror @logicerror

@MSA0011Ext 送信先はDB側のREADME.mdに github.com/KancolleVerifi…

Yuki（だめにんげんだもの） @MSA0011Ext

なるほど、検証部DBはAzure Blob Storageを使ってんのか。ここにデータを送らせないようにしながらもパケットキャプチャするのは難しいな。小手先の方法では無理ぽ。

Yuki（だめにんげんだもの） @MSA0011Ext

まぁ送るもんの仕様が規定されてんな。 github.com/KancolleVerifi…

Yuki（だめにんげんだもの） @MSA0011Ext

やっぱりトークン以外の全てを送ってるという認識で間違いなさそう。提督名とかIDも拾えるんだろうし、当然課金アイテムの購入や使用も。検証と銘打つ割にはやり過ぎ感あるなぁ。

Yuki（だめにんげんだもの） @MSA0011Ext

てかこの手の情報を集めるの、ゲームの運営元や開発元に許可とらなくていいのか…？ファミコンのROM解析とは訳違うぞ。

マーロウ @marlowe2525

◆1 さて、いろいろな方面から「説明しろ」と来るから、そろそろ頃合いでもあるし話そうと思うけど、これを説明すると、びいかめ氏(以降B氏と記述)が情報漏洩した該当者が確定するけどいいのかね？ 自分は最初、そこは伏せて言うつもりだったけど、特定されようが名乗りでた本人の責任でいいよね

マーロウ @marlowe2525

◆2 あ、ちなみにB氏を最初擁護していた方々(こっから先は「第三者達」or「彼等」と書きます)の言ってる事、自分が実際に見た経緯とは150度ぐらい違ってるけど、彼等が、都合のいいように改変してるのか、聞きかじりの情報だから間違ってるのかは分かりません。

マーロウ @marlowe2525

◆3 B氏のフィルタがかかった情報しか得てないだろうし、B氏が抜けた後の事は知らんだろうから仕方ないね。又聞きで情報が歪んでしまってるんでしょう。