Appleは、ユーザーの閲覧データを中国企業Tencentに送信している疑いで、中国関連の新たな論争に巻き込まれている。送信されたデータには、iOSユーザーの閲覧ウェブサイトとIPアドレスが含まれている。

Apple はデータ共有を詐欺サイトからユーザーを守るために行うという善意に基づいているが、同社が現在、そのために中国の複合企業を利用しているという事実は疑問を抱かせている…

更新：  Appleは、実際のURLは第三者と共有されず、デバイスを中国本土地域に設定したユーザーのみが安全なブラウジングサービスのためにTencentを使用するとの公式回答を発表しました。

Appleは長年にわたり、Googleのセーフブラウジング技術を活用してユーザーをフィッシングサイトから保護してきました。Googleが詐欺サイトまたはマルウェアのソースとしてフラグ付けしたURLにアクセスしようとすると、Safariに警告が表示され、そのウェブサイトにアクセスしないよう勧められます。

しかし、iOS 13では、この事実をユーザーに知らせる小さな文字で書かれた内容が変更され、データはGoogleとTencentの両方に送信される可能性があると記載されています。

ウェブサイトにアクセスする前に、Safari はウェブサイトのアドレスから計算された情報を Google セーフブラウジングと Tencent セーフブラウジングに送信し、そのウェブサイトが不正なものかどうかを確認します。これらのセーフブラウジングプロバイダは、ユーザーの IP アドレスを記録する場合もあります。

ジョンズ・ホプキンス大学の教授で暗号学者のマシュー・グリーン氏は、これはアクセスしようとしているウェブページとIPアドレスの両方が明らかになる可能性があるため、問題だと指摘しています。また、デバイスにCookieが保存される可能性もあります。このデータは、ユーザーの閲覧行動のプロファイルを作成するために使用される可能性があります。

AppleがiOSの地域設定を中国に設定した場合にのみ、閲覧データをTencentに送信していることを示唆する証拠はいくつかある。しかし、これは明確ではない。グリーン氏が指摘するように、この警告は中国で登録されたiPhoneだけでなく、米国で登録されたiPhoneにも表示される。

グリーン氏は、少なくとも Google ではいくつかの保護策が使われていると説明する。

Googleはすぐに、「セーフブラウジング」というより安全なアプローチを考案しました。この新しいアプローチは「Update API」と呼ばれ、次のように機能します。

1. Google はまず、データベース内の各安全でない URL のSHA256ハッシュを計算し、各ハッシュを 32 ビットのプレフィックスに切り捨ててスペースを節約します。
2. Google は切り捨てられたハッシュのデータベースをブラウザに送信します。
3. URL にアクセスするたびに、ブラウザはそれをハッシュし、その 32 ビット プレフィックスがローカル データベースに含まれているかどうかを確認します。
4. ブラウザのローカル コピーにプレフィックスが見つかった場合、ブラウザはそのプレフィックスを Google のサーバーに送信します。Google のサーバーは、一致する URL の完全な256 ビット ハッシュのリストを返すため、ブラウザは完全一致を確認できます。

したがって、Google は特定のケースでユーザーがアクセスしようとしている Web ページを正確に把握しているわけではありませんが、Google がデータをマイニングしないことを大いに信頼しています。

一般的なユーザーは、単一のURLにアクセスするだけでなく、時間の経過とともに何千ものURLを閲覧します。つまり、悪意のあるプロバイダーは、ユーザーの匿名性を解除するために、何度も「チャンスを掴む」（しゃれではありません）ことになります。多くの関連ウェブサイト（例えば、これらのウェブサイト）を閲覧するユーザーは、プロバイダーが悪意を持っており、リクエストを関連付けることができると仮定すると、徐々に閲覧履歴の詳細をプロバイダーに漏らすことになります。（追記：このような脅威に関する学術研究がいくつか行われています。）

そして今、Appleは閲覧データをテンセントに送信しており、私たちはその信頼を中国企業にも広げている。しかも、保護機能がデフォルトでオンになっているため、Appleに相談する必要はない。グリーン氏は、Appleがこれを正当化するのは難しいと主張する。

セーフブラウジングの変更は、Appleがプライバシー基盤に大幅な変更を加えたもう一つの例です。しかも、ほとんど宣伝や告知なしにです。私たちはこの変更について、細かい印刷物から知ることになります。プライバシー問題に対するこのようなアプローチは、世界中のユーザーにとって不利益です。

Appleはますます二つの異なる企業に分かれているように感じられます。一つはユーザーの自由を第一に考え、もう一つはユーザーを全く異なる扱いをする企業です。もしかしたらAppleは、この多重人格という問題を乗り越えつつ、誠実さを維持できると考えているのかもしれません。しかし、それがうまくいくとは到底思えません。

アップルは先週、香港の抗議活動の混乱地域を表示するアプリを禁止し、その後許可し、さらに再び禁止したことで非難を浴びた。

havebin.com を Google ニュース フィードに追加します。