徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ代表 IPA非常勤職員 脆弱性診断、WAFの販売・導入、セキュリティコンサルティングをやっています。
https://t.co/F0kveu1nJM

モバイルアプリにおける個人情報(に準ずるようなデータ)のログ取得に関する質問です。

たとえば、モバイルアプリ(iOSネイティブなど)で、ユーザの使用ログを取り、事前に想定したモデルと比較することによってユーザビリティ評価を行うケースが想定されると思います。

その場合、UUID のような端末固有情報に加え、時系列に応じた操作ログを任意のサーバに送ることに対する方法について、どのようなスタンスで行えばよいのでしょうか。

どのような情報を取得したのかという内容は一切含ませず、画面の遷移はどのように行われたのか、どのボタンがどのように操作されたのかという情報を取得することが目的です。

単なる操作ログであれば、Webサーバにおけるアクセスログに比べて個人を特定できるような情報は少ないと思いますが、その一方国産ブラウザで炎上した Smooz のような事例(あれば問題があると思いますが)や、iOS AppStore における審査の厳格化と、ストアにおける取得情報の表示義務化を考えると、ログを取得することに対しても及び腰になってしまいます。

たとえば、単なる起動回数の記録として UUID を送る場合であっても、最新の審査では個人を特定する情報とは結びつかない、匿名としての情報送信であるというチェックを入れなければ審査に出すことができません。

この話題は、いわゆるセキュリティの話とは異なってくるかもしれませんが、利用者視点からすると個人情報(個人情報の定義は置いておいて)が漏れていると思わせる結果となり、ひいてはアプリの信頼性を落とす危険性も持ち合わせていることを考えると、ユーザレベルではセキュリティに関する話題と捉えられる可能性もあるかと思っています。

話題的には先生と契約してご相談すべき内容かもしれませんが、趣味レベルの個人開発における内容なので、可能な範囲でご意見、あるいは参照先をご提案いただければと思います(もちろん、些少ながら投げ銭機能でご回答に対して課金することは考えています)。

2021/01/10 16:42

重たい話題ですが、簡単に言えば、「ストアにおける取得情報の表示義務化を考えると、ログを取得することに対しても及び腰になってしまいます」というスタンスがよくなく、透明性が一番大切なキーワードです。

ギフトサポートする

徳丸 浩

コメント

継続サポートするとコメントを閲覧、投稿することができます。

その他の投稿
脱PPAPがにわかに盛り上がっていますが、結局のところどの代替案がベストなのかさっぱりわかりません。

徳丸先生のお勧め方式を教えていただけないでしょうか?
聞いていいのか分かりませんが、IPAではどのようなお仕事をされているのでしょうか?
はんこの利用を止めるために、必ずしもどこかのクラウドを契約する必要はありますか?opensslなどライブラリで発注書と請求書ファイルのチェックサムに自社で署名するだけでは不十分でしょうか?
徳丸先生も合格された前回の情報処理試験ですが、届いた合格証書番号が「区分-2020-04-XXXXX」となっており(多分本当は 2020-10- )、春試験が中止となった影響で採番がおかしくなったようです。

なんの性かは分からないのですが、こういう不整合はちょっと興奮します 笑
ログインパスワードはハッシュだけ保持するのは当然として、復元が必要な機密情報(誕生日etc)の保持が必要な場合は暗号化する以上にセキュリティ的にできることはあるでしょうか?