欧州のデジタルIDウォレット、Google・Appleの安全性サービスに依存

 (waag.org)
1 ポイント 投稿者 GN⁺ 3 시간 전 | 1件のコメント | WhatsAppで共有
  • 欧州のデジタルIDウォレットは公共サービスへのアクセスやオンライン年齢確認に使われる予定だが、セキュリティ確認を Google Play Integrity API や Apple Managed Device Attestation のような民間プラットフォームに委ねる構造になっている
  • Play Integrity は、アプリが正規認証済みの Android 端末で動作しているかを確認する一方で、Google ライセンス版 Android と Play Store からのインストール有無を基準にしており、Google エコシステムへの依存を強める
  • オランダとイタリアのウォレット開発者は Play Integrity を実装しており、e/OS や GrapheneOS のような脱Google系OSの利用者が公共サービスから排除される可能性がある
  • EU の Architecture Reference Framework は Google の証明を必須とはしていないが推奨しており、イタリアはそれを義務のように解釈した一方、スイスはデータ保護・データ主権・選択の自由への懸念から除外した
  • ID ウォレットが公共インフラであるなら、Google・Apple の証明に頼るのではなく、オープンなハードウェアベースの証明メカニズムを義務化すべきだ

デジタルIDウォレットが民間の証明サービスに依存する構造

  • 欧州各国政府は、市民がサービスにアクセスし、オンラインで年齢確認できるようにするためデジタルIDウォレットを導入している
  • これらのウォレットは、Google Play Integrity API や Apple Managed Device Attestation のような安全性サービスに依存している
  • こうした安全性サービスは**リモート証明(remote attestation)**と呼ばれ、ウォレットアプリが改ざんされていないハードウェア上で動作しているかを確認するために使われる
  • 公共インフラに民間企業の安全性サービスを組み込むと、欧州社会は Google や Apple のような民間企業に依存することになり、それら企業の利害に有利な構造になりかねない

Play Integrity API が生み出す Google 中心の統制

  • Google Play Integrity API は、開発者がアプリ実行環境の完全性を確認できるよう Google が無料で提供しているソフトウェアである
  • 開発者はこれによって、アプリが “genuine certified Android device” 上で動作しているかを確認できる
    • ボットによる悪用の低減
    • 銀行アプリの不正防止
    • ゲームアプリのチート対策に活用できる
  • 問題は、この API が端末でGoogle ライセンス版 Androidが動作しているかどうかも確認し、ライセンスのない代替OSを潜在的なセキュリティリスクとして扱う点にある
  • アプリ改ざんの有無を判断する際にも Google Play Store が基準になる
    • アプリが修正されているかを確認する
    • アプリが Play Store 経由でインストールされたかを確認する
  • その結果、Play Integrity は Google ライセンスのない OS を排除し、Play Store からのインストールと Google アカウントへのログインを促す構造を持つ
  • こうした設計は**Digital Markets Act(DMA)**と衝突する
  • よりオープンな代替として Android のHardware Attestation APIがあり、Google エコシステムの方針を強制せずにハードウェアベースのセキュリティ確認を提供する

政府実装が独占構造を強化する仕組み

  • EU はビッグテックの独占を崩すことをたびたび掲げているが、一部加盟国はデジタル ID ウォレットのアーキテクチャに Google Play Integrity API を組み込むことで、Google エコシステムを強化するリスクを生んでいる
  • オランダとイタリアのウォレット開発者はPlay Integrityを実装している
  • この方式では、e/OS や GrapheneOS のような脱Google系OSの利用者がウォレットサービスへのアクセスから除外される可能性がある
  • 政府がウォレットに Google の安全性サービスを組み込めば、公的機関が民間企業のプラットフォーム方針を執行する役割を担うことになる
  • これは、開放性・包摂性・技術主権といった公共価値に基づいてデジタル公共インフラを構築しようとする欧州の目標と緊張関係にある
  • EU の ID ウォレット規則は相互運用性を核心目標に据えているが、Google ソフトウェア、Google トラッカー、組み込み LLM がプリインストールされていない OS を使いたい利用者は、ウォレット利用のために Google ソフトウェアを受け入れざるを得ない状況に置かれる

IDウォレットは一般アプリではなく公共インフラ

  • IDウォレットは、政府文書へのアクセスや公共サービスへのログイン管理に使われる中核的な手段である
  • したがって、Google や Apple に依存せず、誰にでも提供されるべきデジタル公共インフラの重要な構成要素である
  • 代替の脱Google系OSは、身元確認ウォレットのような政府サービスへのログインに必要な重要アプリが使えないと、採用の魅力が大きく下がる
  • Waag の EU 支援 Mobifree プロジェクト の研究もこの問題を裏づけている
    • 過去 2 年間にわたり、脱Google系モバイルソフトウェアのエコシステムが多様なエンドユーザーにとってどのような価値を持つかを調査した
    • 120 人のテスターの多くは、決済アプリや政府の本人確認アプリのような重要サービスアプリとの互換性を、脱Google系OSへ移行するための主要条件と見なしていた
  • 政府開発者は、相互運用性を最適化する際に、より深いスタックレベルまで考慮する必要がある
  • Play Integrity API は DMA と衝突するため、欧州の主権強化を目指す ID ウォレットの目的とも矛盾する

国ごとに分かれる証明方式

  • EU はウォレットアーキテクチャの一般的技術フレームワークとしてArchitecture Reference Frameworkを提供している
  • このフレームワークは欧州各国政府に Google の証明利用を要求してはいないが、推奨している
  • この推奨により、国ごとの対応は分かれている
    • 一部の国は Google の証明を使わない
    • 一部の国は Google エコシステムの方針を強制する形で実装している
  • イタリアは Play Integrity API の利用推奨を義務のように解釈している
  • スイスは Android の証明メカニズムに依存しており、データ保護・データ主権・選択の自由への懸念から Play Integrity を除外している
  • オランダとイタリアは Play Integrity を無条件で使用しており、Google と Apple の証明ソフトウェア使用推奨を非常に厳格に解釈している
  • 欧州がデジタル自律性を本気で追求するのであれば、Architecture Reference Framework から Google と Apple の証明を完全に排除し、オープンなハードウェアベースの証明メカニズムを義務化すべきである
  • スイスの事例は、Google Play Integrity の利用が正当化されるものではなく、別の解決策が可能であることを示している

公共の説明責任と対応ルート

  • デジタルウォレットは公共インフラであるため、設計過程には公共参加と説明責任が必要である
  • 市民と開発者は国別のリポジトリで懸念を表明している
    • ドイツの公開ウォレット開発トラッカーである gitlab.opencode.de
    • スイスの公開討論フォーラムである github.com/orgs/swiyu-admin-ch
  • こうしたチャネルは正当な問題提起の経路だが、到達範囲は狭い技術読者層に限られる
  • 代替の脱Google系OS利用者は、各国の EUDI Wallet アプリ開発者に対し、Google・Apple の証明からの独立を求めることができる
    • オランダのウォレットについては、外務省 EDI ウェブサイトの contact page を利用できる
  • 懸念を持つ市民は、選挙で選ばれた代表者に対し、ID ウォレットを Google と Apple から独立させるよう求めることができる
  • 記者は政治的・設計的プロセスを追跡できる

関連記事

1件のコメント

 
GN⁺ 3 시간 전
Hacker News の意見

  • EU のウォレット参照実装は Google Play services を厳格に要求していた
    https://github.com/eu-digital-identity-wallet/eudi-app-andro...
    そのため、イタリアの IO アプリ https://github.com/pagopa/io-app も、ウォレット、文書、年齢確認機能で GrapheneOS のサポート要望を拒み続け、Google を要求している
    訴訟が始まるまでは何も変わらなさそうで、望みは Motorola/GrapheneOS の協業と、反競争的行為として訴訟を起こせる消費者団体だけだ
    Play services を要求するアプリについては、可能なあらゆるチャネルで声を上げるべきだ。後で訴訟が始まれば、こうした記録がユーザーの支持を示す助けになる

    • 問題は単なる技術的依存だけではない
      市民一人ひとりに数百ユーロをそうした企業へ支払わせ、その企業が今度は市民の権利に反するキャンペーンを行う
      問題が起きても市民は何のサポートも受けられず、企業はほとんど責任を負わない一方で、相手を非常に気味の悪い方法で追跡する広範な権利を持つ、極端に非対称な契約を結ばされる
    • GrapheneOS だけを特別扱いしてサポートするのは一時しのぎにすぎず、そもそも リモート証明を要求しない方法を探すべきだ
      そうすれば誰でも望むハードウェアで望む OS を使える
    • 今は市場シェアが反映された結果にすぎない。EU 法は、加盟国が公共サービスへのアクセスにスマートフォンを必須にすることを禁じている
      EU は iOS と Android に全面的に依存するリスクを明示的に予見しており、EUDI Wallet フレームワークを他の物理的形態も可能なように設計している
      たとえば現在の国民 ID カードのような スマートカード、スタンドアロンのハードウェアトークン、USB キーがある
    • 悲しいことに、訴訟はあまり効果がなさそうだ。「セキュリティ」、より正確には全体主義的な統制のほうが、携帯電話を直接いじりたい 1% の変わり者よりも重要視されるだろうから
    • GrapheneOS も証明をサポートしているので、たとえ成功しても Google、Apple、GrapheneOS への贈り物になる程度で終わる可能性が高い
      反対すべきなのは、本質的にユーザーに敵対的な ハードウェア証明だ。人気のある Android ディストリビューションを一つ認めることは、大きな構図ではあまり意味がない

  • Play Integrity の代わりに Android のハードウェア証明 API に依存するとしても、私の基準では デジタル自律性への攻撃だ
    ユーザーのプラットフォーム全体に対するリモート証明に依存するセキュリティ機能は、結局、政府が許容される OS を選ぶ権限を持つことになるため、政府権力の濫用だ
    この権限が、情報機関向けのバックドアを組み込むよう OS 開発者に圧力をかけるために悪用されるのは時間の問題であり、人々にスマートフォンを 2 台持てと言うことは解決策ではない
    適切なゼロ知識証明（ZKP）方式やブラインド署名に基づく匿名のデジタル年齢確認には、汎用 OS は必要なく、いくつかの暗号プリミティブとデバイスに紐づいた鍵の集合があれば十分だ
    EU がこうした機能だけを備えた 専用ハードウェアトークンを開発し、アプリの代替として全市民に無料提供するのは過大な要求ではない。スマートフォンを所有しなくてもデジタルサービスへのアクセスが著しく制限されない自由も保証される

    • 銀行と政府サービスの双方で ハードウェアセキュリティを強制すること自体は問題ないと思う
      ただし、携帯電話でカスタムソフトウェアを実行する能力を制限してはならず、特にすべての人に Google/Apple が署名した携帯電話を要求してはならない
      Pixel に GrapheneOS を入れても銀行・政府アプリは動作すべきであり、ハードウェアセキュリティを強制しつつそれは可能だと信じている
    • その通り。ハードウェア証明が政府にどんな利点をもたらすのか、よく分からない
      顧客の立場では、自分の鍵がデバイス内で安全だと信じられるという潜在的な利点はあるが、核心から外れている
      本当に必要なのは、標準プロトコルを定義する オープンソース仕様だ。デバイスは、信頼できる出所、たとえば政府の鍵で署名されたリクエストだと分かり、政府 API が本人を表すものとして知っている鍵でそのリクエストに署名すればよい
      政府ポータルでデバイスごとの公開鍵を複数追加し、リクエスト検証に使う政府の公開鍵も共有する、という形を想像している。本人確認が必要なサービスはユーザーの公開鍵を要求し、政府 API からチャレンジトークンを受け取ってユーザーに渡す
      ユーザーはそのチャレンジが信頼する鍵で署名されているか確認して署名し、アプリに返す。アプリはそれを政府 API に送り、要求した情報の一部だけへのアクセス許可を得る。アプリが年齢だけを必要とするなら、その情報だけを受け取る
      携帯電話の実装が鍵保護のためにハードウェア証明を使いたい場合はあるかもしれないが、義務化する理由はない。よく設計された公開鍵システムで十分であり、必要なら鍵を簡単に失効させて新しく追加できるべきだ
    • 「デバイスに紐づいた鍵」が必要なら、ハードウェアや実行環境に関する証明なしに、その鍵が実際に デバイス結合されていることをどう保証できるのか？

  • 欧州のデジタルIDシステムが、米国企業2社に全面的に依存しているなんて
    つい最近まで、欧州のデジタル主権が切実だと言っていなかったか？ それとも単なる見せかけのたわごとだったのか？

    • FOSDEMではこのテーマをかなり長く議論していた。ある程度の動きはあり、年々良くなっていると楽観していた
    • その通り。Google/iOSの証明を要求しないオープンソース仕様 [0] もある。ただしウォレット提供者は「できる限り」アプリをApp Storeに載せるように、とされている [1]

      ユーザーがウォレットソリューションを信頼できるよう、ウォレット提供者は認証済みウォレットソリューションを、関連するOSの公式アプリストア（Android、iOSなど）を通じてインストール可能にすることが望ましい。これにより、端末のOSがアプリの真正性に関する関連チェックを実施できる。
      もちろん、重要な企業が別経路を実装する可能性は事実上ゼロに近く、一部の政府機関くらいは選択肢を提供するかもしれない
      [0] https://github.com/eu-digital-identity-wallet
      [1] https://eudi.dev/latest/architecture-and-reference-framework...

    • 必ずしもそうではない。EUは実際にデカップリングを試みている
      だが多くの場合、支援できる欧州独自の代替案がない。GoogleとAppleが提供するソフトウェアスタックのかなりの部分でさえ代替できるEU企業は一社もない
      規制環境が変わらない限り、今後もおそらく存在しないだろう
    • 米国は5分でオーストリアに電話し、証拠責任もなしに、主権国家の元首が乗る航空機の領空通過許可を取り消させ、着陸直後に機体を急襲させることができる
      ただ誰かが搭乗していたかもしれないという理由だけで、実際には搭乗しておらず、彼の唯一の実質的な「犯罪」は、米国の根本的に違憲な違法行為を暴露して米国に恥をかかせたことだけだった
      スウェーデンの検察官たちも同じだった。米国は電話一本で、起訴ではないにせよ、その日の夜に世界中の見出しで「Assange」と「rape」が並ぶだけの公式発言を引き出した
      欧州諸国は概して米国の愛玩犬のように振る舞っており、本当に悲しい。それなのに米国大統領は侵攻や併合をちらつかせたり、NATO加盟国の基本的義務を完全に無視して背中を刺したりする
      欧州がなぜ米国の愚かなゲームに引きずられ続けるのか分からない。繰り返し見ている通り、そうした態度は同じ形では報われない

  • 意図通りに動いているということだ。EUは完全に制御可能な端末とOSを使わせたがっている
    新しく馬鹿げた規則に従わなければ、アプリは禁止されかねない

    EU App Store: Apple Removes Thousands of Apps Due to Digital Services Act Requirements
    Apple’s app removals follow the Digital Services Act, a European law requiring all app traders to display verified contact details, including address, email, and phone number.
    https://www.techrepublic.com/article/eu-app-store-apple-digi...
    Chat Controlを実装したくないアプリが、アプリストアに残れると思うのか？
    EU to legislate about Chat Control behind closed doors (https://news.ycombinator.com/item?id=48707719)

    • 問題は、EUがそれらの端末を制御していないことだ。制御しているのはGoogleとApple、さらには米国政府だ

  • 規制は独占を生む。巨大企業の支配を減らそうとする規制であっても、小規模な事業者はたいてい対応しきれず、市場シェアを失う
    これはビジネススクールで競争優位の戦略として実際に教えられている内容。企業は表向きには自社に不利な法律を作るよう政府にロビー活動するが、実際には実装コストを引き上げ、不公平な土俵を作って市場シェアを奪う

    • 規制がまったくなければ、基本的には独占に行き着くのでは？
      すべての規制が独占を壊すわけではないが、独占を壊せる唯一の手段も規制である
    • 独占を保証する唯一の方法は、規制が完全にない状態である
      あらゆる「自由」市場は1%の法則によって独占へ向かう傾向があることが知られている。完全な自由市場は抽象の中にしかなく現実には存在しないため、実際の自由市場を保証するには規制が必要である
      場合によっては自由市場は誤った解決策であり、規制された独占が必要になる。本人確認の分野はまさにそうだと思う。本人確認情報は個人に固有だからである
      個人は理論上、1つの本人確認情報だけを持つべきであり、ごく例外的で十分に文書化された場合を除き、その本人確認情報は変わらない
      国家は本人確認情報を提供する良い方法を備えるべきであり、小国にリソースが不足しているなら、大国が全員のために提供すべきである。これは国家間の非互換性を減らし、私的な利害を排除する
      国家は、誰の本人確認情報を証明するかについて唯一の独占を持つべきである。市場条件の影響を受けない唯一の主体だからである
      この分野で先行している国々は、実際にこのように機能している。個々の国家が共通の解決策に到達できないなら、集団が行うべきである
      ここで集団は失敗した。欧州レベルの解決策を義務化せず、民間の解決策を推奨したからである
      民間部門には利潤追求の目的があるため、本人確認情報が何によって、どのように証明されるかを指示すべきではない。国家は解決策を評価すべきだが、運用と実装は国家の役割であるべきだ
      市場による解決策が適している分野は多いが、これはその1つではない
    • 規制が既存事業者と新規参入者をどう扱うかを明示的に含むなら、話は変わる
      たとえばMMTIS（マルチモーダル交通旅客情報サービス）は、イノベーションと新規プレイヤーを明示的に目的としている。似た例もさらにある
    • 直感的には必ずしも真ではないが、実際にはしばしば真であるように思えるし、この問題により詳しい人が説明してくれるだろう
      問題となる規制がどれほど高コストかも重要である。建物が倒壊せず、食品に毒性がなく、薬が薬理学的なロシアンルーレットにならないようにするには、多くの分野で規制は絶対に必要である
      したがって目標は、規制の費用対効果を最適化することであるべきだ
    • 企業のロビー活動によって作られた規制が、その企業が独占へ向かう助けになるという意味なら、それは筋が通る
      しかしそれは「規制は独占を生む」という包括的な主張とは別である

  • Googleが誰かをブロックしたら、その人はデジタルIDが必要なすべてのサービスへのアクセス権も永久に失うのだろうか？
    以前、あるYouTuberがライブ配信の視聴者に絵文字入力で「投票」するよう促したところ、複数の視聴者のGoogleアカウントがスパムとしてブロックされたことがあった[1]
    Googleはユーザーサポートに消極的なことでも有名なので、個別の救済は期待しにくい
    新しいランサムウェアもすでに見える。「金を払わなければ、お前のGmailからスパムを送ってデジタルIDを失わせる」
    [1] https://www.engadget.com/2019-11-10-youtube-reinstates-banne...

  • これに対する比較的単純で、はるかにオープンかつ安全な解決策は、物理的なEU身分証カードを証明の根拠とし、高価値の署名や新しいデバイスでのログイン、認証失敗が繰り返された後のログインのような重要な操作では、ユーザーにカードをスマートフォンへタッチさせることを要求することだ
    そうすれば、デバイス側のオープンなハードウェアやOSの「問題」は完全になくなる。もはや信頼できるハードウェアやOS署名が必要なくなるからである
    スマートフォンで中間者攻撃の可能性が生じる、と主張することはできる。カードには画面もPINパッドもないため、何に署名しているのか、誰にPINを提供しているのか分からないからだ
    しかし、このリスクを緩和することが、スマートフォンによる証明に伴うあらゆる依存への懸念を引き受けるほど価値があるのかは疑問である
    現在、すべてのEU身分証カードにはすでに強力な暗号学的認証が義務付けられているが、ICAOの生体身分証文書標準に基づく対面での本人確認にしか使えず、リモート本人確認には使えない形である。必要なものにいら立つほど近いが、肝心の機能ではない

    • 私のフランスの身分証カードにはその機能があるが、フランスのデジタルIDアプリもPlay Integrityを要求する
    • ハードウェア証明なしに、どうやってセキュアエンクレーブを持てるのか？ すべての起点はプロセッサのルートキーである

  • ドイツでは、ドイツ鉄道（DB）が高齢者を差別しないよう、コンピュータやスマートフォンなしで購入できるオフラインの切符を提供しなければならないという裁判所の判断があった
    EUDI WalletがGoogle/Appleを要求する場合にも、同様の判断が出る可能性が高いと思う

    • 現在、全員が所持しなければならないオフライン身分証を完全になくす計画はないと理解している
      そのため、EUDIがオンラインサービスを使いたい人向けの任意の代替手段にとどまる限り、同様の判断が出るかは疑わしい
    • 理想的には、すべてのドイツの銀行にも、アプリベースではない口座や二要素認証を配布または提供するよう命じるべきだった。しかし、そうはならなかった
      人々はPlay StoreやApp Storeに依存しており、DBもアプリを直接ダウンロードで提供していない

  • EUは、あらゆるものについてランダム文字列を唯一の認証要素として使う、ユーザー向けの認証体系を義務化すべきだった
    現代の企業向けソフトウェアのAPIトークンとほぼ同じだが、アプリ開発者ではなく一般の人が使う形である
    そして機密性の高いアプリケーションには、ハードウェアトークンを補完すればよい
    パスキーがその役割を果たすこともできたが、業界によって急速に変質させられた

    • その方式では追跡とマーケティングができないのに、わざわざなぜそうするのか？
    • 大規模なユーザーベースをサポートしたことがないのが、これで分かる
      ランダム文字列をなくした人が毎日5万人出たら、どうサポートするのか？ また、その文字列を適当なウェブサイトに貼り付けた別の5万人はどうするのか？ 欧州には10億人がいる

  • 一般的な基準はこうだ
    自分が完全に自作した、あるいは自分が選んだ誰かに作らせることができるコンピューター上で、自分が完全に自分で書いた、あるいは自分が選んだ誰かに書かせることができるコードを実行して、あるデジタルサービスや製品を利用できないのであれば、それはまったく受け入れられない