週末スペシャル： DELL よ，お前もか

DELL よ，お前もか
たしかに「プライバシーマーク」はクソだけど
Google は Android 端末を解除できる

DELL よ，お前もか

あーあ。

Lenovo のときも書いたけど， PC ベンダ側がどう言い訳しようとも，これは純然たる「悪意」なの！

セキュリティ企業や組織は「脆弱性（vulnerability）」などと比較的穏当な表現をしているが，オレオレ・ルート証明書をインストールする行為自体が明確な「悪意」である。なぜなら（上述した通り）これは PKI の信用モデルに対する攻撃（破壊）だからだ。

Malware Spoofing HTTPS — Baldanders.infoより

ちなみに EV SSL も前提が崩れ始めていることをお忘れなく。

踊る PKI — Baldanders.info

Lenovo のときは「中国企業だから」なんてなこともちょっと思ったが， DELL もやっているとなると X.509 がいよいよ「バベルの塔」になる日も近いということかねぇ。

たしかに「プライバシーマーク」はクソだけど

この問題が複雑そうに見えるのは「プライバシーマーク」が本当にただの「マーク」で，ユーザから見てなんの役にも立っていないということだ。本来この手の認証サービスは相手が信頼できるかどうか不明な場合に第3者がそれを担保する仕組みなのだが，「プライバシーマーク」はそのようには機能していない。なぜなら，認証を受けた企業・組織が実際に条件を逸脱する行為をしたとしても「プライバシーマーク」はその逸脱に対して事実上なにもしないからだ。

企業が利益を追求すること自体は evil ではない。だがそれは他の企業・組織やユーザとの間に社会的な信頼関係があってはじめて成立し得る。その企業・組織の信頼性を客観的に示す方法はない。地道に「過去の実績」を積み上げていくしかないのである。これを「ブランド」という。

CCC のブランド・イメージはとっくの昔に壊れている。それは公共図書館運営に対する「嫌悪」とも言える反発を見ても分かることだ。「信用がない」どころかマイナスに振りきれている。それで「うちは独自のプライバシー・ポリシーで運営します」と言ったところで「あー，また CCC がやらかしてら」くらいにしか思われなくて当然だろう。

まぁ，私個人は今後も CCC は（プライバシー情報の運用に対して）信用しないし， CCC に加担する企業・組織も信用しない。

Google は Android 端末を解除できる

Googleはユーザーが所有するスマホの端末ロックをリモート解除可能と発覚 - GIGAZINE

なお，これには条件があって

レポートで判明した事実について、IT関連メディアのThe Next WebがGoogleに確認したところ、Googleが端末のロック解除をリモートで行えるのは「パターンで画面ロックされているAndroid 4.4搭載端末のみ」であり、PINおよびパスワードでロックしている端末についてはリモートで解除を行えないとのことです。

Googleはユーザーが所有するスマホの端末ロックをリモート解除可能と発覚より

ということらしい。 Andorid 5.x は暗号化されている建前だが，パフォーマンスがどうこう言うお馬鹿ユーザが多いせいか，暗号化されてない端末も多いようだ。 Andorid 5.x でも暗号化されてない端末には同様のリスクがある。

Google はユーザに対して「デバイスマネージャ」のサービスを提供しており， Google が画面ロックをリモートで解除可能だとしてもおかしくはない。また PIN コードやパスワードでリモート解除できないのであれば，それほどのインパクトではない。

対策としては

Android 端末は必ず暗号化を行うこと
盗難・紛失・没収の際は「デバイスマネージャ」を使い強いパスワードでロックすること

というところだろう。あと，端末の紛失を想定して「避難訓練」しておくのは有効である。

もちろんデータをクラウドに置いている場合はクラウドごとに個別に対処する必要があるし，そもそも携帯端末は tracking が容易であり警察・諜報組織は端末の中身が見れなくてもさほど困らないということをお忘れなく。

参考図書

信頼と裏切りの社会: ブルース・シュナイアー (著), 山形浩生 (翻訳); NTT出版 2013-12-24; 単行本（ソフトカバー）; 4757143044 (ASIN), 9784757143043 (EAN), 4757143044 (ISBN); 評価

社会における「信頼」とは。