楽天がアプリストアを開設するも、「提供元不明のアプリ」を常に許可する設定の危険性が指摘される 100
ストーリー by hylom
ダメなにおいが 部門より
ダメなにおいが 部門より
楽天がAndroid向けのアプリストア「楽天アプリ市場」を開始した（INTERNET Watch、ガジェット通信）。
楽天が提供する「楽天アプリ市場」アプリから個別のアプリを購入できるというもので、アプリの売り上げのうち75％を開発者に、15％を楽天に、10％を「楽天スーパーポイント」の形でユーザーに分配するという売り上げ分配システムが特徴だという。
ただし、利用の際はAndroid OSのセキュリティ設定で「提供元不明のアプリインストール」を許可する必要がある。これは端末のセキュリティレベルを下げることになるため、ガジェット通信の記事でもツッコミが入っている。
野良APKを http（暗号化無し）でダウンロードさせる危険サイト (スコア:5, 興味深い)
「楽天アプリ市場」の野良APKファイル（rapps.apk）を http（暗号化無し）でダウンロードさせている時点で、セキュリティのことを何も考えていないのがバレバレです。
暗号化無しで配信されていることの確認方法は、下記の通り。
（なお、手動で「http://」の部分を「https://」に書き換えれば、https通信でダウンロード可能なようですが、スマホでわざわざそんなことをする人は、1% も居ないと思います）
ちなみに、楽天アプリ市場 [rakuten.co.jp]（TLSで暗号化）のトップページ1ページの容量を見てみると、
と、1ページ読み込むだけで 6.63 MB（71ファイル）の通信が発生する富豪的Web製作を行っているようです。rapps.apk [rakuten.co.jp] が 7.06 MB なので、楽天が http でダウンロードさせている APK ファイルと、Webページ1ページの容量は大差ありません。従って、https（TLS）で APK ファイルを配信すると負荷が高いから http で配信しているという言い訳は成立しません。
あと、楽天アプリ市場のサイト [rakuten.co.jp] が普通のTLS（https）証明書なようですが、野良APKファイルをダウンロードするときは、偽サイトでないことを厳重に確認する必要があるため、金融機関のネットバンキングと同様に、実在証明付のEV証明書（アドレスバーが緑色になるやつ）にすべきだと思います。スマホからだとアドレスバーのドメイン名の確認が面倒でしない人が多いので、スマホ向けだとPC向けよりもEV証明書の必要性が高いはず。アドレスバーが緑色になれば、ユーザーが偽サイトに騙されにくくなるという明確な効果があります（フィッシング詐欺サイトがEV証明書の発行審査に通ったというケースは皆無です）。
金額的には普通の証明書の10倍以上しますが、それでも EV証明書は 年49,500円 (+税) あれば買える [sakura.ad.jp] ので、イベント開いてPRする予算がある規模の事業であれば、ケチらず買うべきだと思います。楽天は、安全に年5万円もかけられないんですか？ 税抜価格にしたのと(+税)の文字が小さいのは楽天への当てつけです)
TLS（https）に変更された模様 (スコア:2)
今、再確認したところ、現時点では「rapps.apk」のダウンロードURLが、TLS（https）になっていました。
楽天社員も、ここ見てくれていたのかな？
Re:野良APKを http（暗号化無し）でダウンロードさせる危険サイト (スコア:1)
> と、1ページ読み込むだけで 6.63 MB（71ファイル）の通信が発生する富豪的Web製作を行っているようです。
こちらで試すと「1ページ読み込むだけ」ではそうなのですが、次のページ行くとキャッシュされているファイルには通信が発生しませんでした。
Re: (スコア:0)
とはいえ、EVのサイトが改竄されたケースが皆無というのとセットでなければ、真の安心は得られません。
Re:野良APKを http（暗号化無し）でダウンロードさせる危険サイト (スコア:2)
楽天のストアで、そういった表記をしているところが結構あるのですよ。
勿論、表記方法はある程度ストア任せなので、そうでないところもあります。
「『セキュリティ』のここをONにする」 (スコア:4, 参考になる)
https://twitter.com/HiromitsuTakagi/status/635025376750604288 [twitter.com]
提供元不明のアプリを許可すると、ストアがいくら対策をしても関係のないソースからアプリがインストールできてしまうことが問題なのに、「セキュリティチェックしたアプリしか置いてない」などとありがちな破綻した説明をしている。ここがひろみちゅポイントらしい。
# アプリ署名のCAをなんかこうサクッと追加削除できないのは問題ではある
Re: (スコア:0)
すいません。このコメントは、高木浩光さんのツイートを揶揄しているんですか？それとも説明しているんですか？
Re: (スコア:0)
ひろみちゅというは揶揄しているように見えますが
愛称のつもりで書いているのではないかと想像します。
あえて楽天を擁護してみる (スコア:3)
ちなみに当方、家族が楽天からの個人情報流出被害にあってるので
楽天には悪い印象しか持ってません。
でも悪口は他の人が書いてくれてる(笑)と思うので
あえて楽天側の立場に立ってみると、
そもそもアンドロイドとかの「信頼済みアプリのみ～」の設定を
オフにしないと第三者によるアプリ・マーケット提供ができないのは
セキュリティの名を借りた独占的手法であって、独禁法に引っかかるのでは
なかろうか。
本当にセキュリティの理由だけで制限をかけるというなら、
適当な手段で「信頼を証明」すれば設定をオンにしたまま
別マーケットでもアプリをインストールできるような運用とするべき。
それをしないグーグル側は自らの独占のため不当にユーザーの
セキュリティを貶めているのだ。(だから本当に悪いのはグーグルだ)
……と、強弁できなくもないよね。
# ええとAppleはここでは触れないのでご配慮よろしく。
実際のところ、作者取り分70%で各社揃ってるなか、75%と上げてきたことは
競争原理が働いて良いことではある。
# 後発なんだから中途半端な75%でなく85%とか90%ぐらいにしろよ、とは思うけど
# また文句になっちゃう
このあたりって訴えれば行政もそれなりに対処しそうな気がするんだけど、
そういう司法・行政を巻きこんだ動きって今まだないよね？
まあグーグルからすればそれを許せばOSただ乗りみたいになって
今度はグーグル側が一方的不利益となる気もするけど、たとえばMVNOみたいに
最低限のみかじめ料を払えば自由参加(信頼済みとして登録)できるような
仕組みがあっても良いと思うんだけど、どうだろうか。
# と、擁護するけどその制度的欠陥をユーザーに押しつける楽天が
# 許されるわけではない、という点を最後に念を押しておきたい
Re:あえて楽天を擁護してみる (スコア:1)
Google的にはKindle Fireシリーズのような形で出してくださいということでは
かといって (スコア:2)
「提供元不明のアプリインストール」を許可しないならば安全ではないですよね？
Re: (スコア:0)
Re: (スコア:0)
「自転車に鍵をつけたからといって自転車が盗まれないわけではないですよね？」はその通りだけど、「駐輪時に鍵はつけない」というのは根本的に次元の違う論外な行動だろ。
Re: (スコア:0)
いや、駐輪場がセキュアなら問題ないんじゃないの？
いや、Googleが安全性を検証してアプリを上げてくれればいいんだよ。
Re: (スコア:0)
自転車を駐輪場にしか停めない(アプリストア以外の場所に一切行かない)ならそのとおりですがね。
Re:かといって (スコア:2)
安全な場所があるという前提がそもそもの間違い。
全然違う話。
安全な場所があるという前提なんてだれも言ってないだろ？
もともと「かといって安全な場所はない」と言っているのだから。
あえていうなら「Googleが安全性を検証してアプリを上げてくれれば」という話のみ。
Re: (スコア:0)
そこなんだよね。
GooglePlayが安全だと思ってはいけない。
実際に問題のあるアプリはたくさん上がってる。
Re: (スコア:0)
GooglePlayってapkに直リンできたっけ。
playにリダイレクトしようとしなかった？
Re: (スコア:0)
二重否定になってるから、ややこしい表現になるんだろうが。
日本語勉強しなさい
Re:かといって (スコア:2)
突然Wintelの話に切り替えようとしてるのかと思ったら次のセクションで一般論を語ってるしどっちかにフォーカスしてください…
仕方ない (スコア:1, すばらしい洞察)
Android OSの仕様なんだからストアを開設する限り絶対回避出来ない。
ひろみちゅはAmazonのアプリストアも知らないバカなの？
説明に文句を言ってるのは分かってるけど
ストアのアプリをチェックしてるという説明が破綻してるとか単なる言い掛かり。
ストア以外のアプリも入れられてしまう事自体はは楽天は関係ないだろ。
Re:仕方ない (スコア:2)
ストア以外のアプリも入れられてしまう事を可能にするリスクの説明を放棄していてかつあたかも説明されており対処済みであるかのような印象を与える表現をしていることが問題。
どっかのEUあたりがPlay StoreがGoogleしか選べないのは圧力だー独占だーとか文句をつけてストアソースを追加できるようにしつつ対応不能端末は対応端末にGoogle持ち出しでの交換でも義務付けてくれればいいんだけどね。
Re:仕方ない (スコア:1)
> Android OSの仕様なんだからストアを開設する限り絶対回避出来ない。
> ひろみちゅはAmazonのアプリストアも知らないバカなの？
Android 5以降なら、手段が用意されてるそうですけど…
https://twitter.com/sakichan/status/633929910801731584 [twitter.com]
> GoogleはLollipopで「安全なアプリインストール」方法をアプリに開放している。
> PackageInstaller.Session クラスを使い、commit するとパーミッションがない場合は
> 確認画面が出る設計。
楽天のこのストアアプリ、端末が Android 5 以降なら、セキュリティを
低下させずに利用できるようにすべきじゃないかな？
Re: (スコア:0)
通信パーミッションをオフに出来ない欠陥機能ですね。、
Re: (スコア:0)
Kindle Fire買えって話ですよ、楽天と一緒にしないでほしい
というかネタがオセーよ (スコア:1)
発表会での最後の質問がまさにそれだ。
返答にちょっと窮していたから運営側にとっては想定外らしい(笑)
あと、10倍ポイントの9倍部分は例によって期間限定ボーナスポイント。こちらは「皆さん把握されているので」とよく訓練された楽天ユーザー層を想定しているらしい。俺には無理だ。
ついでに言うと10倍ポイントでない「一部のアプリケーション」があると書かれているがFAQだとアプリ種らしいし、それがスタート時点でどのぐらいあるかも即答できてない。
※楽天社員専用と書かれたエレベーターがあったので、ヒエラルキーありそうな気がした
※多分、業者専用と区別するためですっていうと思うけど
少し前に (スコア:1)
少し前にAmazon Appsに関して、
・「提供元不明のアプリを許可する設定をユーザーに指示するが、危険性について触れていない」
・「Amazonが配信するアプリは」安全であるという主張の一点張りで、それ以外のアプリが勝手に入ってくる危険性を無視している
という危険性に関して、IPAに脆弱性として届出を行いました。
結果としては「アプリの脆弱性じゃなくてアプリの動作に必要な設定が危険なだけだから脆弱性としては取り扱えない」という返答になりましたが、世間どころかIPAすらそういう認識ではこういう問題は延々と続くだろうな、と思っていたのですけどね。
結局のところ知識ある人が一般向けに危険性を注意喚起していくしかないんでしょうか。
セキュリティレベル (スコア:0)
なにそれ美味しいの?
そう、「楽天アプリ市場」ならそんなこと気にしないでも安心。
そんなスタンスでしょう、一般的な利用者もろとも。
#なんという偏見・・・
Re:セキュリティレベル (スコア:2)
Re: (スコア:0)
Kindle Fire買えば問題ない話なので、今回の件と一緒にするのはちょっとおかしい
Re: (スコア:0)
楽天が楽天アプリ市場をプレインストールした端末を発売すれば解決ってことか
Re:セキュリティレベル (スコア:1)
koboちゃん...
Re: (スコア:0)
だから Amazon Apps も使わないようにしてるなら一貫性があるわけだな。
Re: (スコア:0)
許可しっぱなしにしないといけないんじゃなかったっけ、これ。
Re:セキュリティレベル (スコア:1)
書き忘れてたので追記。
つ「楽天スーパーポイントがつくことだけが重要」
普通のポイントとはナニが違うのかしらないけど、あのサイトの利用者にとってはこれが一番重要じゃないのかな。
Re:セキュリティレベル (スコア:1)
なんという偏見だ！
俺と同じ偏見を持ってるなんて！
だって、あの楽天だよ？ (スコア:0)
チェックボックスの状態ですら維持できない、あの楽天だよ？
セキュリティレベルなんて維持できるはずないじゃない。
Re: (スコア:0)
Re:だって、あの楽天だよ？ (スコア:3)
チェックボックスの状態は維持されるように変更されたと思ってましたが勘違いかな？
２ヶ月ぐらい前に使った時には維持されていたはず。
Re:だって、あの楽天だよ？ (スコア:1)
>故あって維持「しない」のだよ。
故はあるよ。
それ(セキュリティ)はユーザを守るためにあるけど、儲けを守るわけではなくて減らす可能性があるために維持したくない為。
嫌になるくらい偏見が加速するけど、そういうふうにしか見えない。
大丈夫です！安心なんです！ (スコア:0)
トレンドマイクロ「大丈夫です！安心なんです！」
https://mobareco.jp/a23954/ [mobareco.jp]
Googleの怠慢 (スコア:0)
楽天の適当な説明は擁護できないけど、この設定をしなければいけないこと自体はAndroid自体の問題だと思う
ストアアプリには事前に特殊な高い権限を与える方法とかあってもいいし、実際Playストアは特殊な権限を持っているんだからできないわけはないだろう
Googleが囲い込みたいのはわかるけど、そのために危険がある方法を選択せざるを得なくするのはどうなのかと
Re:Googleの怠慢 (スコア:2)
相手が事を知らないと主張するなら、相手の主張の欠陥か見落としを見つけているはずですから、それを指摘するようにしましょう。
これなら、自分の主張が正しいかわかるし、相手も色々勉強になります。
他のストアアプリ (スコア:0)
確かドコモとかも独自のストアアプリ出してた気がするんだがあっちはどうしてるの？
Re:他のストアアプリ (スコア:1)
OSをそもそも改変してるから可能になってる。
後、SonyだとPlayStation Mobileが独自ストアを持っていたけどPS Mobileアプリ自体のインストールで1度だけ許可が必要。(Google Playで配布してない)
ゲームを購入しても、そのアプリ自体がランタイムなので権限を許可する必要なし。
auのiPhone向けスマートパスみたいにWebアプリを楽天アプリストア内で動かすだけみたいな感じにしておけば余計なOSの設定変更も必要無くできたのだろうけどね。
Re: (スコア:0)
(Androidの)ソースいじれるなら、どうとでもなるだろう。
チェックしないほうがいい。 (スコア:0)
そもそもGooglePlayにあるアプリが皆安全ってことは無い。
そう思い込むほうが余程危険だ。ユーザー自身がリテラシーを高めるべき。
そればかりか長い目で見れば独占的コンテンツストアはユーザーにとって有害でさえある。
よりノイズが少なく検索しやすく、Googleに公開停止などされないストアが増えるのは歓迎できる。
とか書いては見たものの、ラインナップがゲームばっかりだな。
ゴミか。
Re: (スコア:0)
ノイズが少なく・・・とかいってもどうせ楽天のことだから検索しても
周り広告だらけで著しく見辛いんでしょきっと。
結論 (スコア:0)
楽天もクソだしGoogleもクソ
Google同様なAppleもMSもクソ
楽天同様にもauもクソ(同じことを何年も前からやってる。ドコモとSBは知らん)
あいつらデカくて幅をきかせてる企業はみんなクソってことだ
Re:15%も取るの？ (スコア:1)
ベクターのシェアレジも15%だったと記憶してます
-- 風は東京に吹いているか