アカウント名:
パスワード:
陽性者として登録するには「新型コロナウイルス感染症者等情報把握・管理支援システム」(HER-SYS)から発行された8桁の処理番号(個別のもので人によって異なる)の入力が必要です。入力フォームに行けば分かりますが、この8桁の処理番号というのは、数字のみなのです。そして、アプリ自体は匿名性が高い設計なので、アプリの内部IDはいくらでも変更できてしまう(再インストールでも変わる)。
ってことは、ブルートフォースアタックに非常に弱いし、この設計のセンスの無さからして、ひょっとして処理番号は連番?(まさかね……)
わざわざ処理番号を個別に発行するという面倒な仕組みにしたのならば、最低限数字16桁にして欲しかったです。数字のみである程度の安全性を確保するには、オンライン攻撃を防ぐにも最低でも16桁の乱数が必要なので。
処理番号が推測可能だと何が問題なのか分からないのでやり直し
悪戯で実際にはPCR要請の診断を受けていない人が、「陽性者」として登録することが可能になってしまいます。そういう悪戯をする人が出てくると、アプリ自体の信頼性が低下します。
悪戯リスクを考えないならば、「私はPCR検査で陽性と判定されました」などのチェックボックスをチェックさせて送信させれば良いわけです。
悪戯で実際にはPCR要請の診断を受けていない人が、「陽性者」として登録できたとしても、何も起きない。匿名IDを次々と変えながらブルートフォースすれば成功するかもしれないが、その匿名IDで接触した相手はゼロなので、誰にも通知は飛ばない。匿名IDを固定してブルートフォースしたら即座に遮断されるだろう。よって悪戯として成立せず、アプリの信頼性に影響はない。
陽性者が5000人として、8桁しかないので10000人がいたずらで試したら40%くらいの確率で誰かしらヒットしてしまいますね。
ちなみに10万人がいたずらで番号を入れたらほぼ100%誰かしらニセ登録できてしまう。
悪戯で実際にはPCR要請の診断を受けていない人が、陽性者の処理番号を詐取して登録した場合はどうなるのっと
悪戯した人の過去の接触者に通知が行く
いたずらする人も実際にいろんな人間と接触しないといけないってのは鬼ほど面倒だから問題ないだろうね一人二人ならありえなくもないのかもしれないけど
一回使った処理番号は2回めも使えないんだろうか使えるんだとしたらマズイね
今時、BLEのビーコン出すモジュールなんて数百円で売ってるよ。ESP32だとかつかえば複数のIDを切り替えながらビーコン出すんだって簡単だよ。別に本人がスマホもってそこに居なきゃいけないわけじゃない。
> ESP32だとかつかえば複数のIDを切り替えながらビーコン出すんだって簡単だよ。
ビーコン出したあと、どうやって実在の処理番号を探り当てるんでしょうか。まあ、人通りの多い所に置いたら監視カメラで特定余裕でしょうが。
そこらへん飛んでるだれかのIDをコピーして流せばいいんじゃないか。自分が感染できるの一回きりだし、自分自身が処理番号をもらう必要はないよ。その誰がが実際に感染したら、接触者も増える。百倍程度に増幅するビーコン何か所かに置けばそれなりにあたるよ。
処理番号の取り得る数(10^8個)分の適当なIDを使って接触者を増やしておき、ID毎に異なる処理番号でスプレー攻撃すれば理論上は悪戯が成功する。
が、10^8個分のIDを同時に広報できるBTデバイスは現実的だろうか。現実的だとして、処理番号を16桁の数字にした場合は攻撃を防げるだろうか。何桁くらいあれば非現実的な攻撃時間になるだろうか。
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/covid19_... [mhlw.go.jp]> 新型コロナウイルス感染症の陽性者が、本人の同意のもと、陽性者であることを登録した場合に、その陽性者と過去14日間に、概ね1メートル以内で15分以上の近接した状態の可能性があった場合に通知されます。
二次的な濃厚接触者には通知されない模様。
大雨洪水やらの避難先でのスマホ充電コーナーや、授業中や業務終了時に15分以上一か所で管理されると、通知されまくるのかな。
ブルートフォースアタックなんてしたら普通に業務妨害罪で捕まるのでは?アプリが個人特定できないと言っても、大量のパケットを送りつけてくる端末のIPアドレスから個人特定は可能だし
身元が特定されないように踏み台使ってDDoSした場合でもシステムダウンに追い込むことは出来たとしても、虚偽登録したIDは捨てられるだろうよ。
#こういう事言うやつばかりだと公安の主張に妥当性が出て、困るんですけど。 #それに、まぁ身元がわかるような DoS は素人レベルで、今日びの DDoS でも普通そんなことしないよねぇ。
仕様書を見る限りは処理番号をランダムにして、HER-SYSの照合処理をセキュリティ強化すれば問題無いのでは?https://cio.go.jp/sites/defaul... [cio.go.jp]
それよりも通知があった後のフローが気になる。自分に症状がなかった場合、周囲の人で症状ある人がいないか捜索するの?
処理番号をランダムにしてもDoSが防げるわけじゃない元コメの意図と全然違う方向に話が進んでる
不正な番号を何回か入れるとアプリ側でロックされて通信すら発生しないらしいよ。それでも改造クライアントなり作ってパケット投げつけるというならただのDDoSなんじゃない。サーバ側で対策されてるのかは別として。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
犯人は巨人ファンでA型で眼鏡をかけている -- あるハッカー
処理番号が8桁の数字なのが気になる (スコア:0)
陽性者として登録するには「新型コロナウイルス感染症者等情報把握・管理支援システム」(HER-SYS)から発行された8桁の処理番号(個別のもので人によって異なる)の入力が必要です。
入力フォームに行けば分かりますが、この8桁の処理番号というのは、数字のみなのです。
そして、アプリ自体は匿名性が高い設計なので、アプリの内部IDはいくらでも変更できてしまう(再インストールでも変わる)。
ってことは、ブルートフォースアタックに非常に弱いし、この設計のセンスの無さからして、ひょっとして処理番号は連番?(まさかね……)
わざわざ処理番号を個別に発行するという面倒な仕組みにしたのならば、最低限数字16桁にして欲しかったです。数字のみである程度の安全性を確保するには、オンライン攻撃を防ぐにも最低でも16桁の乱数が必要なので。
Re: (スコア:0)
処理番号が推測可能だと何が問題なのか分からないのでやり直し
Re: (スコア:0)
悪戯で実際にはPCR要請の診断を受けていない人が、「陽性者」として登録することが可能になってしまいます。
そういう悪戯をする人が出てくると、アプリ自体の信頼性が低下します。
悪戯リスクを考えないならば、「私はPCR検査で陽性と判定されました」などのチェックボックスをチェックさせて送信させれば良いわけです。
Re: (スコア:0)
悪戯で実際にはPCR要請の診断を受けていない人が、「陽性者」として登録できたとしても、何も起きない。
匿名IDを次々と変えながらブルートフォースすれば成功するかもしれないが、その匿名IDで接触した相手はゼロなので、誰にも通知は飛ばない。
匿名IDを固定してブルートフォースしたら即座に遮断されるだろう。
よって悪戯として成立せず、アプリの信頼性に影響はない。
Re:処理番号が8桁の数字なのが気になる (スコア:1)
陽性者が5000人として、8桁しかないので10000人がいたずらで試したら
40%くらいの確率で誰かしらヒットしてしまいますね。
ちなみに10万人がいたずらで番号を入れたらほぼ100%誰かしらニセ登録できてしまう。
Re: (スコア:0)
悪戯で実際にはPCR要請の診断を受けていない人が、陽性者の処理番号を詐取して登録した場合はどうなるのっと
Re: (スコア:0)
悪戯した人の過去の接触者に通知が行く
Re: (スコア:0)
いたずらする人も実際にいろんな人間と接触しないといけないってのは鬼ほど面倒だから問題ないだろうね
一人二人ならありえなくもないのかもしれないけど
一回使った処理番号は2回めも使えないんだろうか
使えるんだとしたらマズイね
Re: (スコア:0)
今時、BLEのビーコン出すモジュールなんて数百円で売ってるよ。
ESP32だとかつかえば複数のIDを切り替えながらビーコン出すんだって簡単だよ。
別に本人がスマホもってそこに居なきゃいけないわけじゃない。
Re: (スコア:0)
> ESP32だとかつかえば複数のIDを切り替えながらビーコン出すんだって簡単だよ。
ビーコン出したあと、どうやって実在の処理番号を探り当てるんでしょうか。
まあ、人通りの多い所に置いたら監視カメラで特定余裕でしょうが。
Re: (スコア:0)
そこらへん飛んでるだれかのIDをコピーして流せばいいんじゃないか。
自分が感染できるの一回きりだし、自分自身が処理番号をもらう必要はないよ。
その誰がが実際に感染したら、接触者も増える。百倍程度に増幅するビーコン何か所かに置けばそれなりにあたるよ。
Re: (スコア:0)
処理番号の取り得る数(10^8個)分の適当なIDを使って接触者を増やしておき、ID毎に異なる処理番号でスプレー攻撃すれば理論上は悪戯が成功する。
が、10^8個分のIDを同時に広報できるBTデバイスは現実的だろうか。現実的だとして、処理番号を16桁の数字にした場合は攻撃を防げるだろうか。何桁くらいあれば非現実的な攻撃時間になるだろうか。
Re:処理番号が8桁の数字なのが気になる (スコア:1)
再感染の可能性は否定されていないけど、
どうするんだろう。
再感染の場合は、別な処理番号?
或いは、同一人物には1つの処理番号だけにして、期間で絞るのかな
この処理番号は、この期間と、あの期間は陽性…みたいな
処理番号、
いたずらや悪意への耐性も要るけど、一方で、陽性者のTYPOも嫌だな。
Re: (スコア:0)
それを入力した時点で正しいかどうか照合が行われるようだ。
Re: (スコア:0)
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/covid19_... [mhlw.go.jp]
> 新型コロナウイルス感染症の陽性者が、本人の同意のもと、陽性者であることを登録した場合に、その陽性者と過去14日間に、概ね1メートル以内で15分以上の近接した状態の可能性があった場合に通知されます。
二次的な濃厚接触者には通知されない模様。
大雨洪水やらの避難先でのスマホ充電コーナーや、授業中や業務終了時に15分以上一か所で管理されると、通知されまくるのかな。
Re: (スコア:0)
ブルートフォースアタックなんてしたら普通に業務妨害罪で捕まるのでは?
アプリが個人特定できないと言っても、大量のパケットを送りつけてくる端末のIPアドレスから個人特定は可能だし
身元が特定されないように踏み台使ってDDoSした場合でも
システムダウンに追い込むことは出来たとしても、虚偽登録したIDは捨てられるだろうよ。
Re:処理番号が8桁の数字なのが気になる (スコア:1)
#こういう事言うやつばかりだと公安の主張に妥当性が出て、困るんですけど。
#それに、まぁ身元がわかるような DoS は素人レベルで、今日びの DDoS でも普通そんなことしないよねぇ。
Re:処理番号が8桁の数字なのが気になる (スコア:1)
仕様書を見る限りは処理番号をランダムにして、HER-SYSの照合処理をセキュリティ強化すれば問題無いのでは?
https://cio.go.jp/sites/defaul... [cio.go.jp]
それよりも通知があった後のフローが気になる。
自分に症状がなかった場合、周囲の人で症状ある人がいないか捜索するの?
Re: (スコア:0)
処理番号をランダムにしてもDoSが防げるわけじゃない
元コメの意図と全然違う方向に話が進んでる
Re: (スコア:0)
不正な番号を何回か入れるとアプリ側でロックされて通信すら発生しないらしいよ。
それでも改造クライアントなり作ってパケット投げつけるというならただのDDoSなんじゃない。サーバ側で対策されてるのかは別として。