デジタル庁が12月20日に公開した「新型コロナワクチン接種証明書アプリ」で、通信内容のデータが見れてしまうというツイートが話題になった。投稿者は該当ツイートを削除しているが、同庁はツイートについて把握しており、触れられている内容については「問題ない」との認識を示した。
投稿の内容は、同アプリの通信解析を試みたユーザーによる「アプリがサーバ証明書を確認せずに情報送信しているから、SSLインスペクション（暗号化通信の復号）で送受信データが読めてしまう」というもの。しかし、このツイートに対し「ピンニングをしていないだけでは」との指摘が相次いだ。
ピンニングとは、特定の証明書のみに限定して通信するもので、一時期はセキュリティに対して効果があるとされていたが、近年では別のリスク面からピンニングしないケースも多いようだ。同アプリはピンニングせずに通信しているが、アプリの送信データ自体は暗号化されている。投稿者が送信内容を確認できたのは、自分自身の端末に対し、復号に必要な「ルート証明書」がインストールされているためだ。SNSでは、「ピンニングしていないほうが通信内容が検証できて透明性が高い」といった声も見られた。
同庁は「ユーザーが自身の端末に対して、明確な意図を持ってルート証明書をインストールした上で、自分のアプリで自身の通信内容を見ているからできること。他人の通信でできるわけではない」とした他、ピンニングに対しても「Google Chromeなどもピンニングしておらず、セキュリティ要件として重要ではない」と説明している。
https://www.itmedia.co.jp/news/articles/2112/21/news085.html 真偽は知らないけど
完全無欠のアプリがあるなら教えてほしいわ
自身の端末限定の話じゃないのとは思ったけど
もっと自分の知識の上の頭の良いお話だと思って黙ってた
だいたいこんなデマッターし始めるのってパヨカスだろ
ツイッタ投稿者と拡散したやつは、信用毀損罪、偽計業務妨害罪、名誉毀損罪にあたるのでは？
このツイートに対してデジタル庁に採用された人も反応してて、至急対応しますみたいなこと言ってたな
馬鹿かと思ったわ
>>4
ピンニングっていうのは簡単にいえば、認証にこの鍵以外は使わせないよっていう縛り。メリットは正しく使えばセキュリティは高いけど、デメリットとしてその鍵がダメになったときバックアップが無いから対応が柔軟に出来ない。
別にピンニングされてなくても別な鍵で暗号化自体はされて通信されてるのね。んで、この人は自分で暗号化したものを自分で復号化して｢まる見えだ！｣っていったわけ。そりゃそうだろって話 ツイッターに『脆弱性』を垂れ流しておいて
「セキュリティを向上させて欲しい思い」とか言い訳が苦しいにも程がある。
バイトテロと同種のやり口だろこれ
大騒ぎしてた後期高齢デジタルディバイドパヨちん達wwwwwwww
>>18
別におかしくはない
やらんだろうが
刑事は知らん 反ワクといいパヨクといい毎回速攻食い付いてブーメラン直撃する連中学習しないのかねえw
>>2
だからと言ってデマを吹聴して回る者の言い訳にはならぬ。 パヨちんは詳しく無いのにこういうのに反応して騒ぐからいつも最後はこんな風になる
自衛隊接種予約の件も
証明書アプリで最初に旧姓併記に対応してない件も
なんとかコロナ対応で政府がやらかしてる事にしたい奴が多すぎ
そら自分の国がコロナでボロボロ、日本がうまくやってるから
劣等感はあるんだろうが、いい加減な指摘で馬鹿を晒したら恥の上塗りだろ
名誉毀損で訴えないと…反ワクはウヨサヨ関係ないから
きちんと対応しないと厄介だぞ
当初は自己防衛のために打ちたければ打てで始まったワクチン接種がいつの間にか国民管理するために目的変わってないか
パヨクだけでなく、反ワクも大喜びしてたからなこの件
また奴ら負けてるわ
>>44
管理？なに言ってんだコイツ
頭の悪い破防法共産党員かな 散々ダメ出ししていたスーパーハッカーの皆さんは今どういう気持ちかな？
バカが騒いで既成事実になる前に突っ込み入って良かったわ
そもそもマイナンバーなんて年末調整で事務のおばちゃんに知られ放題なのに何で異様に警戒するんだろうな
>>55
でも馬鹿パヨクはこういうのに詳しくないから
「また政府が隠蔽したんだ！」とか言い出すぜ多分wwww パヨクって声が多いけど
パヨクって反ワクでそもそも接種証明ないだろw
>>61
接種証明提示で優遇されたりするのが気に入らないんだってよ
差別だと騒いでる 他人をバカにしてマウント取りたいバカが恥かいただけか
「紙のワクチンパスポート」発行へ、アプリ版は2019年以降発行の既婚者マイナカードなど登録できず [422186189]
http://2chb.net/r/news/1640061875/
3 かみのけ座銀河団(茸) [US] ▼ New! 2021/12/21(火) 13:46:55.39 ID:4b9SOoYl0 [1回目]
NFC B対応スマホなんて国産であるのか？
ほとんどNFC Cだろ。
10 ハービッグ・ハロー天体(広島県) [CN] sage ▼ New! 2021/12/21(火) 13:48:42.96 ID:lPWh+/+90 [1回目]
デジタル庁ってバカの集まりなのか？
11 バン・アレン帯(東京都) [SE] sage ▼ New! 2021/12/21(火) 13:48:51.07 ID:8JU7TdV60 [1回目]
アナログすぎわろ
15 ニュートラル・シート磁気圏尾部(茸) [DE] ▼ New! 2021/12/21(火) 13:50:42.48 ID:gfILy2UD0 [1回目]
Q9-2 接種証明書アプリに対応しているスマートフォンの機種・動作環境が知りたい。
A9-2
本アプリは、iOS 13.7以上もしくはAndroid 8.0以上かつマイナンバーカードが読み取れる（NFC Type B対応）スマートフォンにてご利用いただけます。
なんで日本で主流のNFC TYPE-C(Felica)にしなかったんだよ…
バカなのか？
21 ハービッグ・ハロー天体(東京都) [CN] ▼ New! 2021/12/21(火) 13:56:42.75 ID:mBJqGna20 [1回目]
本当省庁のバカさ加減は今どきの中学生以下
22 ガニメデ(東京都) [FR] sage ▼ New! 2021/12/21(火) 13:57:03.18 ID:a8GSe1uB0 [1回目]
アホの極み
これでアプリぶっ叩いてたヤツってWebブラウザー全否定してるようなもんだからな
まともなエンジニアじゃないよｗ
>>17
お前が末期のバカ
（この話題を内部で）共有しますと言っただけ
アプリの作りが良いとも悪いとも言ってない >>38
だからこのスレで「デマの拡散やめとけよ」って忠告したのに >>65
今どきの中学生が持っているスマホなら大体読み取れるだろ >>71
パヨにはDNS偽装とか野良Wifi前提のガキジニアしかいなかったじゃん >Google Chromeなどもピンニングしておらず、セキュリティ要件として重要ではない
これもちょっと正確ではないなあ…Chromeが72で廃止したのはHTTPヘッダーベースのHPKPだけだよ
ディオ！
お前のくだらないデマはこれを狙っていたなら予想以上の効果をあげたぞっ！
>>65
Felicaってtype-Fじゃないんだ？ 問題ないなら個人情報流出させたら責任取るんだよな？
>>42
あいつ笑えたわー
もう、絵に描いたようなスーパーハカー大先生w >>80
ここまでやったんだから、個人流出させたらマジで製作者は首チョンパでええやろ
免責は無理 >>79
Type-Fで間違ってないと思うぞ
WikipediaのFeliCaページ読むと規格提案時点ではType-Cだったみたい
あとNFCリーダーはA/B/F全部読み込み対応だからマイナンバーがType-Bなのも現実的に問題はないね 間違えんのは仕方ないにしても、間違えてましたごめんなさいって訂正もせずに消して逃亡とか糞過ぎるだろ
自分の通信内容を見たぜぇ！
ドャァ！からの恥ずかし削除？
流石にこのレベルの失敗するなら存在価値無いしな
とはいえまだどんな罠があるかわからんし人柱まちだな要求される施設いかねないし
脆弱性を見つけたとしてSNSで公開して同調を求めるのがそもそも大きな間違い
自爆ざまあ
この人が言いたかったのは
「このアプリは証明書ピンニングしていない」ってことで
お漏らしどうこうじゃないんだよな
分かってない馬鹿が批判してるだけ
これは大恥だなｗ
どうせパヨの捨て垢なんだろうけどｗ
>>98
どなるどだっくのこと？あいつわかってないぞw >>98
擁護するにしてもアクロバティック過ぎるわw
そいつは何の為にそれを伝えたかったんだよ >>98
どういう環境でなら見れるのかは興味ある
だってマイナンバー関係のサイトは全部そういう仕組みだろうし >>103
マイナンバーどころかSSL使う通信は基本的に同じだよ >>98
それを世界に発信して何がしたかったんだ…？ >>98
いやスーパーハカーにデータ丸見えになるから野良wi-fi使うなって言ってたじゃん >>107
ディズニーにもキャラクターのイメージを著しく害した件を通報した方がいいな そんなことよりUSB接続のカードリーダー使えるようにしてくれよ
デマかよ
デマスレ立てた奴とデマスレで暴れてた奴はなんらかの責任とるの？
なんか初期のワクチン煽りと同じ空気感じるんだけど
それで２回打ってどうだった？
君ら学ばないのかな？
もう脳が腐ってるとか？
潰したい奴らがいて必死なんだろうな
マイナンバー関係反対してんのって共産党関係だっけ
あの頃は何て言ってたっけな、ああそうそう
武漢説はデマで確定
人工ウィルスは悪質なデマ
コウモリウィルスの変異種が正解
安心安全でGOTOイート
ワクチン副作用はすべてデマ 警察に逮捕されます
じゃなかったっけ？
あれ？
ぱよちん臭がするな
エフセキュアとかまだ生きてるのかな
不具合やらが出たのなら直せばいい、こういう失敗も積み重ねないとなにも進歩しない
ここで怯んだらまた「紙」に戻るんだよ
>>15
「これっておかしいんじゃね？」と疑問を投げかけること自体は別にいいのでは ＞「ピンニングをしていないだけでは」との指摘が相次いだ。
＞「Google Chromeなどもピンニングしておらず、セキュリティ要件として重要ではない」
そもそもピニング関係ないじゃん
中共工作員の部下がデジタル庁プロジェクトマネージャー
デジタル庁かなりヤバい
なんでno chk certの話が変わってるんだ？
本当にやばいから火消ししているのか？
テストで残したオプションの話だろ？
アプデまで時間がかかる糞appleの審査の時間稼ぎなら素直に取り下げればいいのに
ああやっぱりそういうことか
ふーん
ま、どっちでもいいけど
事務のおばちゃん「年末調整のマイナンバーの番号間違えてたから直しといてあげたよ」(´･ω･`)
>>122
それ勝手に問題を曲解捏造された情報じゃね
そうやって捏造を本当にしようとする奴ら多いからな >>68
自分とこで作ったアプリの仕様も知らないとか馬鹿だろ
お前仕事できなさそう 特定個人情報にしたアホが悪いだけで番号なんかお漏らししたところで何の問題もない
>>127
証明書なんだから偽造できないってのがウリなわけでしょ
こんなに簡単にIDとかバレちゃっていいの？ 偽計業務妨害じゃないの？ 悪質だから逮捕した方がいいよ
>>128
うわー昨日の知的障害者かこれwww
何も理解出来てなくて笑える >>118
公開の場ではだめ
今回みたいにデマなら言うまでもないし、仮に本当の脆弱性だったとしたら攻撃に繋がってしまう可能性があるので然るべき機関に報告 知的障害と反ワクこじらせた昨夜の人が
ID真っ赤にして独りでﾌﾞﾂﾌﾞﾂ
>>128
証明書、ID これらを今回の件の 正しい用語で質問し直してみな iPhone7ではパスポートを読みこんでくれないんだけど
たれか助けて
おサイフケータイ必要なん？？？
詰んだわ
2chMate 0.8.10.106/HUAWEI/ELE-L29/10/DR
>>131
それって単にヘマを誤魔化したいだけでは？ こいつはちゃんと訂正したの？
ツイート消しただけなのはよくないだろ
自分発のデマが独り歩きしてるんだから
>>128
IDはバレてもそれを使ってアクセスする際の電子鍵がない限り問題ない
PKIだから普通のパスワードのようにブルートフォースアタックなんかもできないしね >>130
いや、ちゃんと説明しなよ
一般人には分からないような問題とは関係ない専門用語つかって誤魔化してないでさ
この空気、1年前もこんなだったよな
ADEはあり得ないとか、反ワクとか、レッテル貼りしかしないよな
ちゃんと説明しないでｗだけ生やしてなんか笑ってるやつ >>139
中間者攻撃だと読み取られると思うが
デジタル庁か厚生省かしらんが、そこと通信してると思い込んで
ハッカー鯖からの公開鍵で暗号化したデータを送信しちゃう訳だし
だから認証局のチェックが甘いからやばくねって話なんで
根本的な解決になってないよそれ >>139
今回JPKIじゃなくて券面事項入力補助AP使ってるみたいよ SNSはノイジーマイノリティとか陰謀論者のスピーカーの側面が強くなり過ぎだよな
そっち系アカウントとつながり無くても目に入ってくるし
>>141
そりゃ偽証明書を自らインストールしてOSからの警告も無視して接続ってデバッグ環境みたいなの作れば出来るけどね
それは今時のssl使うほぼ全てのプログラムに当てはまるけどね コロナでトイレットペーパー無くなる並みのデマだったな
ところでこれどんな場面で要求されるんだ？風俗で見せろとか言われるのか？割引とかあるのか？
>>144
今は海外ローミングで一端東南アジアを経由するSIMもあるんだぜ
認識甘すぎだろ
まぁ、キャリア通信か有名どころだけ使ってりゃ問題は出にくいだろうけどな
怪しいアプリ入れてるとひそかに串なんか挟まれたりしてヤバそうだけどな
ま、自己責任か >>133
お前にこの問題を理解させるのはダンゴムシに芸を覚えさせるより難しそうだな バカウヨと業者にボコボコにされて怖くなって消しちゃったんだろうけど河合ソース
なんかこんなんばっかりだな
この業界までパワー系のアホだらけかよ
安倍いい加減にしろよなー
結局よく分からんけど、要はこのアプリは使っても大丈夫って事でいいの？
>>141
SSLの話なのかマイナンバーカードのJPKIの話なのか分けて考えないと
IDが漏れると言うから俺はマイナンバーカードの話をしているんだけどね。 >>142
ということは運転免許証の写真撮って画像添付するのと同じレベルのチェックってことか わたし、言いましたよね
この辺の事は大抵マスターしてるが
と
またデマというデマか
コロナ後からひどいなホント
何が本当だか専門家以外わかんねーだろ
今の世の中
>>159
大抵マスターしてる奴でもこんなレベルなら仕方ないな これ、マイナンバー通知カードあればいけるよな？
マイナンバーカード要る？
>>162
早くマイナンバーカードの中のデータ全部抜き出して見せてくれよ
偽証明書無理やりインストールせずにTLS突破して見せてよ >>163
マイナンバーカードとpinコード知らないと発行出来ないって事でなりすましとか不正を防いでいるだろ
カードないなら自治体が対応してれば窓口か郵送で発行すればいいだけ >>165
そうなのか…
通知カードと接種控えで行けると思ってたわ
面倒だな 知的障害で反ワクのパソコンの大先生がまた連投でアホ晒してるのかw
>>164
論点逸らしと罵倒しかしてこないから
その基地外には触らないほうがいいよ
まともに会話もできないくらいのアレだから >>137
小西洋之とかいう木っ端役人恫喝しまくって自殺に追い込んだ議員が一般人告訴しようとしてたしありじゃね？ 初めから暗号復号できる自分の端末だけでやってセキュリティに難有り！ってアホか
復号コード持ってるのに解読できなきゃただの文字列じゃん
あー、知ってた
ピンニングだろ？ちょっと忙しくて論破しに行けなかったけどピンニング知ってた知ってた
やっぱピンニングだったか
>>173
復号前のデータを解析したのではなくて自己の証明書で復号化されたデータを閲覧しただけなのか
見えるのは当たり前だよな >>178
税金
年金
健康保険
お薬手帳
免許証
ワクチン
これからスマホで全部一括管理だぞ 関連スレでも暴れてる反ワクの知的障害クンは>>1のソースさえ読めない重度の知的障害なんだよな… >>164
大丈夫だよ
登録した人、多分もう抜かれてるから
やるとしたら登録時だろうし あー
SS取ってお前らボコるの面白そうだな
なんか気づいちゃった
こっちのほうが向いてるわ疲れないし
これ叩いてるヤツってルート認証局を信用できないから、端末からすべてのルート証明書を削除してるんだよな？ｗｗｗ
まぁ、これ認めると、イコール大規模流出確定なんで
そら認められんわな
なんでだろーワクチン打った人のマイナンバーが悪用される
なんでだろー
おかしーなー
で行くつもりなのかね まぁ、それしかないと思うが
>>178
NFC-Bだからおサイフケータイ(NFC-F)は不要 >>188
typeBまじか
OPPOの一部スマホとか使えないな >>182
マイナンバーカードの中は抜き出せないからｗ こうしてネットは信頼を失ってゆくんだね
それはネット通販にもやがて波及し、それは二度と戻ることがなくなってゆく
時代は店舗販売だよ
むろん現金掛け値なし
まぁ、バグは絶対潰す性分なんでな
お前らみたいな嘘つきダンゴムシ君も要するにバグだからな
存在がバグ
こんなのに頼ってる内は、デジタル庁なんてまともになりゃしないよ
バグがソフト作ってんだから
>>126
中小企業にお勤めで？
他人の案件なんて仕様わかる方が怖いんだがw >>192
まーそもそもネットってそんなに信用できるものじゃないからな
メディアもだけど
そういう風に教育したからお前らがそう思い込んでるだけで
実際はあやふやな物だよ
まぁ、これは色んな経験を通して学ぶ訳だけど
経験の浅い若い人間にずっと洗脳し続けてるだけで
私たちは信頼のおける権威ある人間ですってね
深夜の通販みたいに色んな賞とか作って 通信データからじゃなくて別のとこから漏れるんだろ
漏れるのも不具合起こすのもいつものことだ
全国民が繋ぐ可能性のあるアプリ使う人間が増えれば
飯時に鯖が落ちるのは決定だし
ココアの件で学習しろ
大規模イベントでは通信障害で周囲の通信鯖が落ちる
通信増強用の車の台数なんてたかが知れてて絶対数が足りない
>>188
>>179
NFCってしか書いてないや
2chMate 0.8.10.106/HUAWEI/ELE-L29/10/DR >>202
免許証持ってるならスマホで免許証読み込めるか試してみればいい コミケに間に合わせたくて必死なのか？ｗ
そんなの知ったこっちゃねぇわ
豚のデータ集めていやがらせする作戦か？ｗ
>>191
二つ以上の公開鍵
パターン解析
まぁ、可能だわな
中間者攻撃が可能ってのはヤバいわけさ
ここまで解析されてりゃ、破られるのは時間の問題って訳で インストール要件統べてみたしているのに
iphone SE第一世代でアプリをインストール
させてくれないのは 不満 行政なんとかしろ
>>211
できるだろ
詳しい方法は書かないけど
捕まっちゃう♪ >>212
できないよ
できないように作られてる
何十年も前に出来たスイカですら抜き出せた奴はいないでしょ すいません、どうやら2ちゃんニュース速報のデマでした。
>>213
そりゃまぁ、スイカは中間者攻撃できないように作ってあるからな
だがワクチンアプリは違う
一事が万事、ド素人の設計なんだよな
政府のシステムって
その辺の無能SEが適当にこしらえたレベルのセキュリティしかない
実質穴だらけ
まぁ、今から再設計しても10年は無理だなこれ >>215
スイカ使うアプリだって自分の証明書入れてそれ使ってSSL通信すれば中身は見えるよｗ
この証明書アプリもＯＳの警告無視してインチキ証明書をインストールでもしないと中間者攻撃なんてできない
ちなみに中間者攻撃できてもカード内のデータをすべて抜き出す事はできない >>216
お前が認証局を理解してない事はわかった >>217
マイナンバーカードのデータが引っこ抜けるって言ってる時点で全く理解してないって事だからｗ 海外で運用中の証明アプリのローカライズだから
cocoa並みのへまは起こらないはず
>>218
分かってないのか
単純に説明すれば
たとえば１２３４って数字があるとする
これに1回目の暗号化で５５５５を足して６７８９で送信する訳
６７８９をブルートフォースかけて１２３４を割り出すのは色々あって難しい訳だけど
2回目に３３３３を足して４５６７にして送信させる
エラーが発生しました、最初からやり直してくださいでも何でも良いわけ
６７８９と４５６７の共通点比較すると、
１２３４が分かる訳
極々、単純に言うと、こういう方法 >>220
現代暗号技術全否定ｸｿﾜﾛﾀ
そんなんで簡単に秘密鍵がわかったらインターネットは崩壊するなｗ 
