Viberが送信する情報のメモ【5/8追記】■Viberが送信する情報のメモ
 Viberが利用者のアドレス帳情報をサーバに送信して保管するということなので、具体的にどんな内容が送信されているのか、登録から全てパケットキャプチャして確認してみた。暗号化されていたらわからないなと思っていたが、昨日の記事で電話番号が平文で送信されていたのでひょっとしたらと予想した通り、Viberは登録時にほぼ全ての情報をhttpで平文のまま流通させていた。せっかく素晴らしいソフトなのに残念なことだと思う。

 ※こちらの記事はガジェット通信に転載いただきました。

 最新の記事
 Viber 2.1遂に連絡先平文送信を変更
 http://blog.isnext.net/issy/archives/1610

3/15 地震関連でViber検索の結果こちらにたどり着かれる方が多いようなので一部再編集しました。Viber関連は可能な限り以下のリンクを全てご確認いただき、使用するかどうか判断材料としていただければと思います。4/2 暗号化検証記事を追加しました。5/8 他記事を読まずにミスリードされる方がいるので必要と思われる注記を追記しました。

 ・Viber 暗号化対応を示唆 CEOが表明【12/31追記】
  Viber社の情報取扱いの詳細に言及しています
 ・Viber 5つの誓い
  Viber社が会社として守るべきと定めた誓約を紹介しています
 ・Viber v1.1の現状とv2.0のリリース予定
  Viberの問題点の現状と次期リリース版について言及しています
 ・Viber 2.0の暗号化対応は限定的
  Viber 2.0の暗号化対応について検証しました

■キャプチャで判明したこと
・登録で通信するサーバはwa.viber.com
・NYのミッドタウンセンターにあるNetVision社のIP
・Webサーバはngnix Webアプリはphp
・User-Agent: Viber/1.0.95906 CFNetwork/485.12.7 Darwin/10.4.0
・登録時にクライアントから送信される項目
 RegisterUserRequest
 PhoneNumber
 PushToken
 CountryIDDCode
 UDID
 DeviceType
 SystemVersion
 ViberVersion
・アクティベートがOKになるとアドレス帳が送信される
 送信はTCP4244宛て平文
 送信先はAmazon EC2上にあるサーバ
 送信内容は連絡先アプリ内の登録情報全員分
 送信項目は 「姓、名、携帯番号、着信音設定値」
 他の入力項目は送信されていないように見える

 ※当初送信項目を「性、名、携帯番号、着信音設定値」としていましたが、漢字の変換ミスです。iPhoneの連絡先の登録項目には標準では性(性別)という項目はありません。

■所感
 3G接続を前提にしているとはいえ、せめてSSLは利用してもらいたいと思う。アドレス帳を項目は限定されているとは言え、全てネット上に平文で送信するのはどうかと思う。たしかにアプリの設定時にアドレス帳へのアクセスは許可しているが、通常それはアプリケーションがローカルでアクセスすることを想定し、情報がネット上にアップロードされることを許可しているつもりまではないと思われる。仕様上必須なのであれば「アドレス帳のデータをViberサーバにコピーするが構わないか?」という問いかけで許可を得るのが適切だと思う。Viberのサイト上のポリシーにはサーバ上にコピーする旨が明記されているが、アプリをダウンロードして設定するまでの間に、それに気付く機会がないのでは片手落ちだと思われる。Viber自体は非常に優れたアプリケーションだと思うので、告知内容の見直しや、登録時や架電時の通信内容の暗号化はぜひとも対応してもらいたい(※v2.0のリリースにより3月中に暗号化対応される予定)。

 Viberはユーザの意図しないところで、アドレス帳情報を外部送信していると見られても仕方ない状況だと感じる(※v1.1で通知内容が改善されたことで一応の対処はされている)。一般の人は個々の判断でViberをどのように利用するか判断すればいいと思うが、少なくともアドレス帳に入っている友人知人の情報(一部)が、TRUSTe等の比較的信頼のある個人情報保護体制認定プログラムを取得していると明示されていない外国企業に流れていることは自覚しておく必要がある。もしPマーク等の個人情報保護体制認定プログラムの適用事業者に勤務している場合には、業務上利用しているiPhoneにViberはインストールしてはいけない。アドレス帳に取引先や従業員情報が入っていた場合、法人としてViber社と適切な契約状況になければ情報漏えいに該当すると判断される可能性が否定できない。おそらくEU辺りからViber社はいろいろ突っ込みをもらうことになるのではないかと推測する。その改善後には安心して利用できるようになるかもしれないと思う。

Viber社
http://www.viber.com/
Viber社プライバシーポリシー
http://www.viber.com/privacypolicy.html

【12/23追記】
 Viberの情報の取扱いについて以下のblogが12/04に懸念を表明したところViber社のCEO Talmon Marco氏から12/10 16:02のコメントで回答があった。その一部に気になる発言があったのでメモしておく。

 Agmon Dot Com / Privacy 101 or Why You Should Not Use iPhone App Viber
 http://blog.agmon.com/2010/12/04/why-i-will-not-install-viber/

 アドレス帳を送信していることについては、アドレス帳でなく名前と電話番号のみだ(we actually do not send the entire address book, we only send names and phone numbers)と回答している。blogではアドレス帳の全ての詳細が送信されているとしている(They now know practically every detail of your phone book.)ことからこの反論は妥当と思う。正確には着信音設定も送信されているのだが、プライバシー項目に相当しないという観点から述べられていない可能性がある。電話番号と名前をセットで送信している理由としては、Push通知する時に電話番号だけではない方がいいと判断しているから(We send the names associated with the numbers because otherwise we won’t know what to write in the push notification and will have to send something like +12125551212 is calling you. Not good.)だそうだ。これはある程度理解できるが、だとすれば事前告知で適切に説明すべきと思う。

 個人情報が第3者に提供されることについては、パートナーと共有する可能性があること(Yes, we may share information with partners in order to provide the service.)を明確にしているが、例示としてSMS配送会社との共有を出しており(For example, we share your phone number with an SMS delivery company in order to send you a text message.)、規約を修正して明示する(I do believe that we can make this clause clearer. We will fix it.)としている。規約へのより適切な明示は歓迎すべきところではあるが、例示されたSMS配送会社への共有というのは、やや不安感を伴うものであり、Viber社がどのような信頼性評価をするのかわからないが、今後SMS配送会社経由でSMSスパムが送信されてくるかもしれない懸念を感じざるを得ない。第3者提供の可否について個別のオプトアウトを可能にしてもらいたいと思う。(※こちらの後日記事情報が共有される範囲はサービス提供上妥当な範囲であることが確認されています

 通話記録を残していること(their privacy agreement states that they collect and log all your phone calls)については、特別な言及はなかった。ViberではP2Pでの通信が前提なのでiPhoneで3G回線同士で通話する限り通話内容をViberサーバに残すことはできない。サーバに残るのはプライバシーポリシーにはViber ID, phone number, 端末識別コードUDIDとなっている(hese logs contain your internal Viber identification which is a combination of your account identification (i.e., your phone number) and Apple Unique Device Identification (“UDID”) or Android Device ID.)ので、通信事業者?としては妥当なものだと思われる。ただ保存目的や保存期間の明示がないのは残念だと思う。(※こちらの後日記事で保存期間等についても明示されています)

 コメントの最後に、ポジティブなレビューと同じくらい製品とポリシーの改善に役立つから批評について歓迎する(Anyway, we welcome the critiques – they help us improve our product and our policies as much as we are happy about the positive reviews we get.)と書いてある。CEOが直接個人blogにコメント返信するなど、今ではあまり驚くことでもないかもしれないが、真摯に回答がされることはやはり素晴らしいと思う。

 一方、自分で記事を書いてやはり暗号化されてないことが非常に気になったので、12/18にViber社のサポートに暗号化のリクエストを出してみたのだが、受付された旨の表示にはなっているものの12/23現在全く進捗がない。12/17に投稿されている別人からの暗号化通話のリクエストにも何も進展がないように見える。(なぜ自分のリクエスト投稿は公開されていないのか不明、カテゴリが違うのか?)年末が近くもしかしたら既にクリスマス休暇で稼働していない可能性もあるが、CEOの対応はなかなか興味深いのに、通常あるべきサポートのレスポンスが残念に見えてしまう。リクエストへのレスポンスがあったら、またこちらに追記していこうと思う。(※その後Viber社のCEOとコンタクトする機会があり、直接要望を行い対応してもらうことができた。サポートも解決済みステータスに移行した。)

, , ,
とりあえず付けておく無駄ではなかったなまぁまぁ読めたちょっと役に立ったかなかなり良かったかも (2 投票, 平均値/最大値: 5.00 / 5)
Loading...
Trackback

434 comments untill now

  1. ふぅむ/「送信内容は連絡先アプリ内の登録情報全員分」

  2. Linux/CGP作業メモ » Viberが送信する情報のメモ

  3. Viberも平文かよ。Appleは平文でデータを送るアプリは審査を通しちゃダメだろ。

  4. 「Pマーク等の個人情報保護体制認定プログラムの適用事業者に勤務している場合には、業務上利用しているiPhoneにViberはインストールしてはいけない」うわ、これは…

  5. うすうす思っていたけどViberも平文で個人情報データを流してるらしい

  6. こういうヘボな仕様があっても、Apple側のチェックすりぬけてるアプリが他にもあるという可能性

  7. ちょっと危険っぽいなー

  8. ありゃー

  9. 平文でござるか…

  10.  こういうことを確認してからと思って試すのはやめてた。

  11. 色々詳しい

  12. 「Viberは登録時にほぼ全ての情報をhttpで平文のまま流通させていた。」続きの記事あるので待ってね。

  13. Viberが送信する情報のメモ

  14. 【Viber】おそろしや。 android版はろくに通話できないしアンイストールしよ。http://t.co/CLoK67Ec

  15. 【Viber】おそろしや。 android版はろくに通話できないしアンイストールしよ。http://t.co/CLoK67Ec

  16. 【Viber】おそろしや。 android版はろくに通話できないしアンイストールしよ。http://t.co/CLoK67Ec

  17. これ、俺を電話帳に登録している人がViverインスコしたら俺の名前と番号が漏れてしまうっちゅう事よね?逃れられんやん。あらら。
    RT maionii: 【Viber】おそろしや。 android版はろくに通話できないしアンイストールしよ。http://t.co/YDhfBoSo

  18. そうなのよ危機感なさ過ぎ、自分だけの問題じゃないからね。RT @HiguchiKi 俺を電話帳に登録している人がViverインスコしたら俺の名前と番号が漏れてしまうRT maionii: 【Viber】android版はろくに通話できないhttp://t.co/pugqATRE

  19. @taksitomi Viverはアドレス帳とか勝手に吸い上げるから注意した方がいいよ。 http://t.co/gJgyCpTw

  20. @taksitomi アクティベートがOKになるとアドレス帳が送信される
     平文、送信先はAmazon EC2上のサーバ、送信内容:連絡の登録情報全員分、「姓、名、携帯番号、着信音設定値」 http://t.co/gJgyCpTw

  21. @gakudai Viberは、iPhoneを仕事に使ってると情報漏洩にあたる可能性があるから、いまだに怖くて入れられないアプリ。 http://t.co/oOhSQKqs

  22. @nekomusume42 なんかね~こんな記事上がってたよ。Viberが送信する情報のメモ【5/8追記】 – http://t.co/lHVi1aM8

  23. Viberが送信する情報のメモ http://blog.isnext.net/issy/archives/571 #viber アドレス帳が全件サーバにコピーされるという内容を検証しました

  24. Viberが送信する情報のメモ

    http://t.co/RZqN7bJd

  25. @mmcheeky viber、イスラエルの企業ですね http://t.co/oolq3EJd

  26. @mmcheeky viber、イスラエルの企業ですね http://t.co/oolq3EJd

  27. viberが送信する情報、連絡先アプリ内の登録情報全員分の「姓、名、携帯番号、着信音設定値」ちょっと古い話ですが知っておいた方がよいでしょう。FYI http://t.co/3NdufHAb #fb

  28. 連絡先サーバー集約型にしてはセキュリティがお粗末なんだ。今は改善の方向らしいが、余程大手じゃない限り連絡先情報サーバー集約型はあまり勧めないよ。http://t.co/jP3p6bcG RT @Y_Saotome

  29. Viber ヤッパリヤバイな http://t.co/Fjql7PUC

  30. Viberって無料だけど広告ないし、どんな利益モデルなんだろって思ってたらこういうことだったのね、残念。http://t.co/sLtE5AtI

  31. @ChIGUSap セキュリティが不安。http://t.co/HBtn0L13
    これは前の記事だけどね、明らかに個人情報の取り扱いが甘い会社だからなぁ…

  32. RT @****: 業者さん乙です 情報セキュリティ関連のお話だったので最近知ってビビった話つぶやいてもいいですか [viber]で抜かれる電話帳データまとめ  http://t.co/BuxyGZKM
     #wktc25

  33. Viberが送信する情報のメモ【5/8追記】 http://t.co/94yjShu1HU

  34. Viberが送信する情報のメモ【5/8追記】 http://t.co/94yjShu1HU