Linux/CGP作業メモ

■Viber 暗号化対応を示唆 CEOが表明
　Viberの通信が平文である懸念に対して、結論から言えば暗号化オプションは2011Q1末までに対応されるようです。前Viber関連記事の後該当blogにいくつか興味深いコメントが追加され、Aborn氏がこのblogのリンクを直接紹介してくださったこともあり、奮起してViber社のCEO Talmon Marco氏に直接要望を書きこんで見ました。結果サンタクロースが素晴らしいプレゼントを運んでくれることになったようです。簡単なまとめと所感、その後で、氏の発言の意訳とこちらの提示した案、そしてそれに対する返信を紹介します。英語が得意なわけではないので意訳となりますが、ご了承ください。以下前記事と該当blogのリンクを再掲。

　最新の記事
　Viber 2.1遂に連絡先平文送信を変更
　http://blog.isnext.net/issy/archives/1610

【12/31追記】Viberの修正について一部リリース時期が明らかにされました。
　Viber社 CEOからの追加伝言
　http://blog.isnext.net/issy/archives/649

　Viberが送信する情報のメモ
　http://blog.isnext.net/issy/archives/571
　Agmon Dot Com / Privacy 101 or Why You Should Not Use iPhone App Viber
　http://blog.agmon.com/2010/12/04/why-i-will-not-install-viber/

■要点まとめ（Viberの変更について）
　・暗号化オプションは2011年3月末までに実現する
　・アドレス帳アクセス時のメッセージ内容は変更するかもしれない
　・アプリからプライバシーポリシーへのリンクを追加する
　・将来的にアプリからアカウントデータ削除できる機能を追加する（現在サポート経由でのみ可能）

■要点まとめ（Viberの情報管理について）
　・アカウント情報のうちID（電話番号）とUDID（端末識別）はデータベースで保持
　・データベースのバックアップは30日分
　・アドレス帳情報（名前、電話番号、着信音設定）は揮発性メモリ（RAM Disk?）で保持
　・アカウントが30〜45日活動がなければアドレス帳情報は消去、バックアップ無し
　・アカウントが削除されればデータは消去
　・将来提供するSMSは14日サーバ保存、バックアップも最長で30日分
　・通話内容は記録していない
　・通話ログは現時点は無期限で保存
　・通話ログで残しているのは誰が誰とどのくらいの時間話したかと技術的なパラメータのみ
　・ネットワークの解析や向上、デバッグなどで利用するため
　・第３者と情報を共有するというのは、認証SMS送信サービスやサーバのあるAmazonのこと
　・現在は他にパートナーはいない
　・近く音声での認証のためパートナーを増やす予定がある
　・会社を売却することがあってもプライバシーポリシーを守ってくれる相手にする
　・情報を売りません。それを取引しません。悪用しません。

■所感
　今のところViber社のCEOはblogのコメントに対しても非常に誠実に回答していると思われます。彼らが宣言していることは、第３者の監査がない限り客観的には証明され得ないので、今は彼らの動向やユーザへの対応を注意して見ていくことが必要だと思います。ソフトウェアの暗号化改修を待って使うのもいいですし、連絡先に入れておく人数を最小限にしてViberを使う了解をもらった上でリスクを受け入れるのもいいと思います。個人的には暗号化非対応なのは、同じ通信帯域であれば平文で送信の方がより帯域が広く使える（暗号化するとデータ量が増える）ことと、iPhoneのCPUを暗号解読に使うより、通話品質確保に回す方がよい音声通話が実現できるからなのかと思っていました。iMeshを作成した人たちだけあって、自分たちのリスクヘッジのためとは、少々意外というか、言われてみればそうですよね、というか…。

　少なくとも極東の１bloggerの提案も真摯に回答してくれて、提案や批判はどんどん受け入れると門戸を開いてくれているのだから、Viberをより便利に安心して利用したい人は、コンタクトしてみてもいいかもしれません。暗号化やデータ消去リンクが実現されたら、再度使ってみようと思います。

続きに意訳を掲載します。

■Talmon Marco氏の発言意訳

・最初に、私たちは多くの発言に提起され、プライバシーポリシーを訂正したので確認して欲しい。
　First and foremost we revised our privacy policy to address the issues raised in this post (and many others). You can check it out on viber.com.

・あなたの電話番号、UDID、アドレス帳の電話番号+名前の組み合わせ。この情報があるから私たちはあなたの友人がViberに登録しているかどうか通知できるのです。
　On a technical side, we maintain a few things: your phone number (that’s your ID or “account”), your UDID (an Apple hardware identifier so we can link your “account” to your phone), and a list of your contacts – phone number+name as you stored it. We do this so we can tell you which of your friends has Viber.

・あなたのIDとUDIDはデータベース上で保持されます。（私たちはあなたの名前を聞かないし、必要としていないことに注意してください。）そして、残りの情報（アドレス帳の情報）は揮発性メモリ上でバックアップなしで保持されています。あなたのアカウントが（30〜45日間）活動しなかった場合、情報は揮発性メモリから消去されます。私たちはバックアップを取りませんので永久に残るということはありません。
　We only maintain your ID and UDID in a “database” (note that we do not know and do not ask for your name – as we do not NEED it). The rest (your contacts) are maintained in volatile memory with no backup. If your account becomes inactive (30-45 days) we delete your contacts from volatile memory. We have no backup of this data, nothing that lasts “forever”.

・あなたのIDは活動していないからと言ってデータベースから削除することはしません。ですので電話番号とUDIDは削除するか同じ番号で別の登録があるまで残ることになります。
　We do not delete you from our database for inactivity, so your phone number and UDID will be maintained until you delete them (or if there is a new registration with the same phone number or UDID).

・あなたがアカウントを削除するなら、私たちはあなたのデータを削除します。私たちが保持するのは30日以内のバックアップだけです。
　If you delete your account, we will also remove you from our database. We maintain a database backup that is no older than 30 days.

・将来提供するSMS機能については確実な配送のため14日間サーバに残すつもりです。その後削除します。バックアップについては少し長く持つことになるでしょうが、まだ決まっていません。ただし安全策として30日以上は持ちません。
　Regarding future text messages (a feature in development) – we will maintain them on our servers to ensure delivery for up to 14 days. After that, we will delete them. Whether delivered or not. Server backups will be maintained a little longer. Not sure how long yet (this is still in development), but no more than 30 days is a safe bet.

・通話記録については、私たちはあなたの通話を記録することはしません。実際に70%以上の通話は私たちのサーバを介していません。私たちのサーバを介する場合でも、他のユーザに転送するために、ほんの数秒間、瞬間的に揮発性メモリに音声データを保持するだけです。
　Regarding call logs – we do not record your calls. In fact, over 70% of calls do not even go through our servers. When calls do go over our servers we just keep the voice data momentarily in volatile memory (well under a second) so that we can send it to the other user.

・発着信のログについては、今のところ無期限です。私たちが保持するのは、誰が誰とどのくらいの時間話したかと、技術的なパラメータのみです。私たちはネットワークの分析と向上のためにそうしています。システムとデータについてより良い理解が得られるように、数ヶ月以内により具体的な制約をかける計画をしています。この方針についての提案を心から歓迎します。このことについて快く思っていないユーザがいることは理解しています。それと同時に私たちのネットワークがその情報なしに向上（デバッグ）できないことを理解してくれるユーザがいることも期待します。
　We do maintain calls logs. At the moment indefinitely. We only maintain who called whom, length of call, and other technical parameters. We do this in order to analyze and improve our network. We plan to put more concrete limitations on this in the coming months as we get a better understanding of our system and data requirements. We truly welcome input on this policy. We understand that some users might feel unhappy about this. At the same time we hope that these same users understand that we cannot improve (read: debug) our system without keeping track of it.

・信頼する組織（訳注：信頼する第３者にデータを共有することがある件でインタビューを受けた内容について）に関して。私は適切にこれを言い表さなかったようです。 私たちはスカイプのプライバシーに関する方針から関連セクションを本質的にはコピーして、これを改訂しました。
　Regarding “trusted organizations”: I guess we did not word this properly. We revised this, essentially copying the relevant section from Skype’s privacy policy.

・私たちは私たちのサービスを届けるために第３者とあなたとデータを共有する必要があります。例えば、認証のためにあなたにSMSを送る…そのため、私たちはテキストメッセージを扱うパートナーが必要です。そして、サーバをどこか（Amazon AWS）でホストしてもらう…そう、私たちのデータはAmazonのサーバ上にあります。将来、私たちは課金サービスをするかもしれない…クレジットカードを処理する必要があるでしょう、などなど。
　We need to share your data with 3rd parties in order to deliver our service. For example – we send you an SMS for authentication – we need a partner to handle these text messages. Also, we host our servers somewhere (Amazon AWS) – so our data is on Amazon’s servers. In the future we may offer paid services – we will need to process your credit card, etc.

・私たちはあなたの情報を売りません。それを取引しません。悪用しません。こういったことにプライバシーポリシーはとても厳密です。
　We do not sell your data, we do not trade with it, we do not abuse it. The privacy policy is pretty strict when it comes to this.

・それを明確にするため、現時点で私たちは認証テキストメッセージを送る目的のために3社のパートナーのうち1社とあなたの電話番号を共有し、Amazonでホストしています。他にパートナーはいません。
　To make it clear, at the moment we share your phone number for the purpose of sending authentication text messages with 1 of 3 partners and we host with Amazon. No other partners.

・数日以内に、私たちは音声ベースで認証する（電話を架けます）方法を持つでしょう。そのため新しいパートナー（コールターミネーションパートナー）があなたの電話番号に（電話するため）アクセスすることになるでしょう。そして音声自体は彼らのインフラと電話を繋ぐため彼らとパートナーを組むもの全てを通過していくでしょう。これは電話の世界の仕組みの話です。
　In a couple of days we will have an audio based (we will call you) authentication method so a new partner (voice termination partner) will have access to your phone number (since we call you) and the audio itself (your code) will go over their infrastructure and whoever they partner with to deliver phone calls. This is how the world of telephone works.

・私はこれが質問の答えになっていることを期待します。私たちのプライバシーポリシーは比べられるものがないと思っています。私たちはプライバシーポリシーに命をかけています。もしコメントや提案があれば@durasをTwitterで探してください。
　I hope this answers all questions. I think our privacy practices are second to none. We live and die by our privacy policy. If you wish to comment, have suggesting, find me on twitter – @duras.

以下個別レス部分。

・Martjinへ（訳注：本当に売らないのか、キプロスにあるのはなぜかという質問に対して）　私たちは決してあなたのデータを売るつもりはありません。（プライバシーポリシーに公開しているように）会社を売ることはあるかもしれません。その場合、蓄積されたデータも一緒に売られるでしょう。私たちは、売却条件として購買者が私たちのプライバシーポリシーを受け入れてもらうよう、プライバシーポリシーを訂正しなければなりません。ToDoリストに加えました。私たちの所在については以下の記事を確認してください。
　@Martijn – we will never sell your data. We may sell the company (as is disclosed in the privacy policy). In which case, the stored data will be sold as well. We should revise the privacy policy to state that the buyer should accept our privacy policy as a condition of sale. Added to my to do list.. Regarding our location – check out this article – http://wonkroom.thinkprogress.org/2010/10/21/google-doesnt-pay/

・Abornへ（訳注：なぜ暗号化しないのか、プライパシーを軽視しているのではないかという質問に対して）　これは私たちがやってもダメ、やらなくてもダメと言われてしまう典型的なケースです。暗号化をするかしないか、長い時間かけて議論してきました。暗号化をすれば、暗号化をしてこっそり何々をしているのではないかと言われ、しなければユーザのデータを軽視していると言われてしまう。私たちは隠し事をしてないことを明確にするため、オープンにやることを選択しました。FacebookもYahooも他の多くのサイトもあなたのデータを暗号化して送信していません。ですから私たちはこれで十分なんだと思いました。間違ったでしょうか？私たちはフィードバックを歓迎します。
　@Aborn this is a classic case of be damned if we do, be damned if we don’t. We had long discussions regarding encrypt vs not encrypt. If we encrypt, then they will tell us that we are doing some “hush hush thing” under encryption. If we do not, then they tell us we do not respect user data. We chose to do things in the open so it was clear that we are not “hiding” data. Facebook, Yahoo and many other sites deliver your data unencrypted as well, so we thought this was enough. Were we wrong? Again, we welcome your feedback.

■Viberへの提案

１）SSLで暗号化するかしないかユーザに選択肢を追加すること
　今回のケースでは送信されるデータが自分だけのものでなく友人のものになります。自分の情報は自分自身のものだから自身の判断でViberのサーバへ送信することができます。しかし友人の情報はそうではありません。友人のデータは安全に取り扱いたいのです。ユーザが能動的に暗号化を選ぶのなら、あなた方のビジネスには問題ないでしょう。

２）アドレス帳についてのメッセージを変えること
　現在の起動時のメッセージは「Viberはあなたのアドレス帳にアクセスさせてほしい [許しません] [いいよ]」です。このように変更するのが適切だと思う。「Viberは快適な通知のためにアドレス帳をアップロードさせてほしい」。もしユーザが[許しません]を選んだら、「Viberは電話番号だけの通知を送るけど、いい？」という新しいメッセージを出して、登録を続けます。これはリーズナブルではありませんか？

３）アプリの設定画面でプライバシーポリシーへのリンクを追加すること
　今はユーザがアプリから簡単にプライバシーポリシーを見つけることができません。これは大変残念です。リンクを追加するのは簡単です。

４）サーバ上のアドレス帳データを削除編集する機能の追加
　私は自分自身の情報をコントロールし、安全に維持したいです。たぶん多くのユーザも同じでしょう。現時点でアドレス帳データは自動でサーバと同期します。しかしサーバと同期してほしくないデータもあります。だから、消去や編集機能は必要です。

あなた方にとってこれらの対応は難しくないでしょう。
Viberを安心して使いたいユーザのために考慮をお願いします。

■Talmon Marco氏の返信意訳

１）アプリケーションにオプションが増えるほど雑然とするでしょう。私たちはオプションの追加には慎重です。私たちは将来のリリースで情報を暗号化するでしょう。すぐのリリースではないことに注意してください。しかしQ1末（訳注：来年の３月末）前には機会があるでしょう。データを隠しているのでないことを全て確認できるように、もし誰かがなぜ平文でなく暗号化してデータを送るのか質問してきた時には、私はそれをあなたに送りますね。:-)
　1. The more options we add to the application, the more cluttered it will get. We want to be very careful with the options we include. I believe we will encrypt the information in a future release. Please note that this will not happen in the immediate release, but chances are that will happen before the end of Q1. If someone asks why the data is encrypted and not sent in the clear so that all can see that we are not hiding data, I am going to send them to you :-)

２）私たちはメッセージを変えるかもしれません。しかし、もしユーザがDon’t Allowを選んだ場合、アプリケーションを使うことはできないでしょう。アドレス帳の番号無しでは、どの番号がViberの登録者か伝えることができません。アプリは役に立たなくなってしまいます。名前に関して、将来、内蔵のアドレス帳を持っていないプラットホームとアドレス帳を同期させる能力を提供したいと思います（私たちはそれに関してかなりオープンです–プライバシーポリシーのセクション1dを見てください）。私は（私たちの質問を読みさえせずに）「NO」と言ったり、製品が動かないと言ったりするユーザはたくさんいると思っていますので、欠陥のある製品を出したくはありません。
　2. We might change the message, but if a user declines they will not be given access to the application. Without the address book numbers we cannot tell which numbers in your address book have Viber, so the app becomes useless. As for the names, in the future we’d like to offer the ability to sync address books to platforms that do not have a built in address book (and we are quite open about it – see section 1d of our privacy policy). I don’t want to issue a crippled product, as I am sure that we will have plenty of users that will say “no” (without even reading what we’re asking) and then say the product doesn’t work.

３）いいですね。やりましょう。
　3. Good point. We will do it.

４）私はアドレス帳の全ての連絡先に同期/非同期のボタンを付けたいと思いません。すると次に私はそれらが同期されているかどうか表示するために各連絡先にインジケータを付けたいと考えます、そして最後はガラクタになったアプリが手元に残るのです。もし、ユーザがサーバにデータを残したくないと思うなら、アプリケーションに簡単な「アカウントを消去」というリンクを付けるのがいいでしょう。これはアカウントやその関連データを全て消去します。今のところこれはカスタマーサポートを通じて行いますが、近い将来アプリケーションの機能になるでしょう。
　4. I don’t want to add a sync/unsync button to every contact in the address book. Then I need to add an indicator next to each contact that shows whether they are synced or not, and I end up with a cluttered product. If a user does not want their data on our server, they will have an easy “delete account” link in the application. This will delete their account and all associated data. At the moment, this is done via a customer support link. In the near future this will be a feature of the app.

・Issyさん、私たちはある「体験」を生み出すために一生懸命働きました。多すぎる設定機能や、0.01%のユーザを満たす機能を追加することは、アプリケーションを雑然とさせ、他の99.99%のユーザにとって使いにくくしていくのです。
　Issy, we worked very hard to create a certain “experience”. Adding too many “configuration” features, features that cater to 0.01% of the users is going to make the application cluttered and less useable for the other 99.99%.

・ユーザがiPhoneをとても好む主要な理由の1つは、ソフトウェアに搭載する機能の量を制限するアップルの能力です。 私たちは同じモデルに従おうとしています。
　One of the key reasons users like iPhones so much is Apple’s ability to limit the amount of features that make it into their software. We are trying to follow the same model.

・プライバシーポリシーは非常に明確です。 私たちは文字通りそれに従っていきます。 私たちはユーザのプライバシーを尊重していきます。 私の好きなショウから言葉を借用すれば、これは私たちの「最高指令（最も優先すべき指示）」なのです。
　Our privacy policy is very clear. We are going to follow it to the letter. We are going to respect the privacy of our users. To borrow a term from my favorite show, this is our “Prime Directive”.