【悲報】Clubhouseのデータ、中国企業に送られていた。スタンフォード大が警告

Clubhouseのデータは中国企業Agora社に送られている。スタンフォード大が警告

2021.02.16 13:00

(略)
スタンフォード・インターネット・オブザーバトリー（SIO）の最新調査で、Clubhouse（クラブハウス）入室中の各利用者のメタデータを含むパケットがエンド・トゥ・エンド暗号化もない平文でAgora社に送られていることがわかり、Clubhouse社が対応に追われています。

■その前にAgora社って何？

Agoraは動画・音声・ライブインタラクティブ配信プラットフォームで、シリコンバレーのサンタクララと中国上海にオフィスを構えています。Clubhouseをはじめ世界中の企業にAPIを提供しているのですが、Clubhouseとの関係は一度も正式には公表されていません。(略)

■ClubhouseはAgoraのAPIで1週間で書かれた

でもまあ、ClubhouseのバックエンドがAgora社だという話は割と早い段階から知られていました。(略)

■何が問題なの？

そんなわけで、Clubhouseが開発したのはUI的な部分であって、Clubhouseの音声プラットフォームを動かしているのは上海Agora社なんです。音声データのホスティングをしているのもAgora、インターネット配信をやっているのもAgora。

となると、気になるのはAgoraのサーバーの所在地ですけど、これは米中両国にまたがっていますので、仮にClubhouseの音声データが中国側のサーバを経由する場合、中国政府から捜査や治安目的で会話のデータの引き渡しを求められたら応じなければならないという、やっかいな法的義務が生じます（このことはAgoraが米国証券取引委員会（SEC）に提出したIPOのF1目論見書にも明記されている）。

中国国内では外資系も含めて当然の義務だけど、Clubhouseは｢リアルタイムで世界中の人とおしゃべりができる。音声は録音・保存・公開禁止だから気兼ねなく話せる｣ことで中国で爆発的に広まりました。今月中国国内で利用禁止になる直前まで、天安門、 新疆ウイグル自治区、香港問題で大盛況だったので、言いたい放題したデータが逮捕に使われたら目も当てられませんよね。

そこで心配になってスタンフォード大がネットワーク解析ツールのWiresharkなどを使って調べてみたら、データは案の定Agora経由で処理されていることが判明。ユーザー固有IDとルームIDのメタデータが暗号化もない平文で送られている実態までわかってしまったのでした。

つまりどういうことかというと、｢ユーザーのネットワークにアクセスできる第三者｣は簡単に送信内容にアクセスできて、｢同じチャンネルに入っているかどうかを見れば、ユーザー同士がしゃべっているかどうかもわかる｣ほか、発言主のIDとプロフィールの照合も可能。ぜんぜん｢ここだけの話｣じゃないってことですね。

ほかにもいろんなセキュリティの脆弱性が見つかったけど、そっちはもっと危険なので｢Clubhouse社に直接連絡した。解決されるか修正期限になり次第、公表する｣と同大は話しています。

■音声は保存されない...んでしょ？

｢中国政府が国家の安全を脅かすと判断した場合、Agoraは問題の音声の特定と保存をサポートしなければならない｣とレポートにはあります。サーバーが米国内なら中国政府からの請求に応じる必要はありません。

ClubhouseもAgoraも｢脅迫や虚言などの通報があったとき証拠資料は要るので音声は一時保存するけど、セッション終了時に削除している｣と説明しているので｢ないものは出せない｣と突っぱねることもできそうだけど、なにしろ平文だと…別に法的手段に頼らなくても、直接アクセスして録音しようと思えば、理論上はできてしまいますからね…。(以下略)

https://www.gizmodo.jp/2021/02/clubhouse-agora.html