EUが鳴り物入りで進めてる年齢確認アプリ、知ってる？未成年をアダルトサイトとかから守るためのやつなんだけど、その「安心設計」なはずのアプリが専門家に数分で破られたらしいんだわ。ただ面白いのが、地元ドイツのr/deの反応は「炎上」というより意外と冷静で、「オープンソースだからバグが見つかるのはむしろ健全」って擁護論がかなり優勢なんよ。ドイツはコロナ接触確認アプリ（CWA）をオープンソースで成功させた経験があるから、この辺の議論の解像度が高い。便利さとプライバシー、どっちも取れるのか？現地の反応を見ていくで。
細かいところまでどれだけ雑だったのかは今は追えてないけど、記事でももう触れられてる通り、オープンソースだからこそすぐ見つかったんでしょ。こういう問題って、ちゃんとした専門知識があればサクッと直せるはず。
自分としては、むしろ今のところかなり順調に回ってると思う。
コードが公開される→コードがチェックされる→バグが見つかる→バグが修正される→いいアプリができる
って流れだよね。
原文を見る
Im Detail kann ich jetzt nicht nachvollziehen wie schlampig gearbeitet wurde, aber im Artikel wird ja schon erwähnt dass es schnell gefunden wurde weil es open source ist. Solche Probleme sollten sich ja schnell lösen lassen mit entsprechendem Expertenwissen.
Meiner Meinung nach läuft es eigentlich soweit gut:
Code wird veröffentlicht -> Code wird geprüft -> Fehler werden gefunden -> Fehler werden behoben -> Wir haben eine gute App.
✍️ 管理人: これが最上位コメントなの、ドイツのIT民度の高さを感じるわ。「ハッキングされた＝終わり」じゃなくて開発サイクルの一部として捉えてるのがぐう正論。ちなみにオープンソース界隈には「目玉の数さえ十分あれば、どんなバグも深刻ではない」っていう有名な「リーナスの法則」があって、まさにこれを地で行ってる話なんよな。日本のマイナンバー関連アプリでトラブルが出たときの報道の叩かれ方と比べると、この温度差はちょっと考えさせられるわ。
他のもっと露骨にプライバシー踏み越えてる案への批判はもっともだとしても、これは正直ちょっと意外なくらい好印象だった。
このアプリ、透明性確保のために完全オープンソース化されていて、しかも年齢確認はできるのに、本人確認情報は誰にも一切渡らない仕組みらしい。どうやらCWA（コロナ接触確認アプリ）の成功からちゃんと学んだっぽいね。
もちろんコードの質が低いとかセキュリティ上の問題があるならちゃんと指摘されるべき。でもそれができたのも、ソースコードが公開されてたからこそなんだよな。
とにかく、EUが開発したオープンソースのアプリのほうが、「はい法律作りました、各プラットフォームは年齢確認を義務化ね」みたいになるより1000倍マシ。そうなったら結局、データはどっかの胡散臭いアメリカのデータブローカーに垂れ流しだっただろうし。
そりゃ「そもそも年齢確認なんて不要でしょ」って思うのは当然だし、この仕組みのまま踏みとどまらせるよう監視し続ける必要もある。でも「デジタル年齢確認そのものはもう政治的に止められない」って前提に立つなら、これは今あり得る中ではベストな解決策だと思う。
原文を見る
Bei aller berechtigten Kritik an anderen deutlich zu weit gehenden Privatssphäre-Einschnitten, muss ich sagen, dass ich hier tatsächlich mal positiv überrasch bin. Die App ist aus Transparenzgründen komplett OpenSource, und soll Altersverifizierung möglich machen, bei der keine Info über die Identität an irgendwen geteilt wird.
Hier hat man wohl von dem Erfolg der CWA gelernt.
Es ist wichtig, dass auf niedrige Qualität/Sicherheitsprobleme im Code aufmerksam gemacht wird, aber das ging hier auch nur, weil der Quellcode öffentlich ist.
Auf jeden Fall ist mir eine EU-entwickelte OpenSource App 1000mal lieber als wenn es einfach ein Gesetz gegeben hätte, dass die Plattformen zur Altersverifikation zwingt. Denn dann wären die Daten immer am irgendwelche shady DataBroker in den USA abgeflossen.
Klar kann man sich wünschen, dass gar keine Altersverifikation notwendig ist. Und man muss hier auch dahinter bleiben, damit es auch bei der Lösung bleibt, und nicht irgendwann bestimmte Mehrheiten per Gesetzesänderung zusätzlichen Datenabfluss verlangen.
Aber unter der Prämisse, dass irgendeine digitale Altersverifikation politisch wohl kaum mehr abzuwenden ist, ist das immerhin die beste Lösung.
✍️ 管理人: 長文だけど中身が詰まりすぎてて全文載せたわ。「年齢確認はできるけど本人情報は渡らない」って仕組みはゼロ知識証明的なアプローチで、「18歳以上です」って事実だけ証明して名前も生年月日も渡さないやつな。ここで引き合いに出されてるCWAはドイツのコロナ接触確認アプリで、完全オープンソース＋分散型設計で「プライバシー配慮のお手本」って世界的に評価されたんよ。日本のCOCOAが不具合放置で大炎上したのと比べると、正直うらやましい経験値の差だわ。あと「アメリカのデータブローカーに垂れ流し」への警戒感、EUのGDPR文化が染み付いてる感じで日本とは危機感のレベルが違う。
メディアがこういう進歩を腐すためにこんなフレーミングを使うのは、ちょっと問題あると思う。
ここで作られてるのはオープンソースだから、たくさんの目が入るぶんバグや欠陥もずっと早く見つかる。で、それってむしろ良いことなんだよね。おかげでどんなクローズドな民間製ソフトよりもずっと安全になる。
もし大企業のコードを公開したら……どうなるか、想像したくもない草 😀
原文を見る
Ich finde es etwas problematisch von den Medien so ein framing zu verwenden um solche Fortschritte schlecht zu reden.
Hier wird Open Source entwickelt, Fehler sind also viel schneller zu finden wenn sehr viele Augen drauf schauen. Und das ist gut so, damit wird die Software deutlich sicherer als alles private was man entwickeln könnte.
Würde man den Code von großen Konzernen veröffentlichen… ich will mir nicht vorstellen was dann passieren würde 😀
✍️ 管理人: 「大企業のコードを公開したら想像したくもない」は闇が深すぎて草。実際、過去に大手企業のソースコードが流出するたびに「パスワードがハードコードされてた」みたいな話がゴロゴロ出てくるからな…。メディアの「数分で突破！」って見出しが釣りっぽいのはその通りで、日本のニュースでも「○○にセキュリティホール！」って騒ぐけど修正されたことは報じないパターン、あるあるだわ。個人的には見出しだけで判断せずコメ欄まで読む習慣、マジで大事だと思う。
それ、少なくとも「半分だけ本当」って感じの発言ではあるな。root化された端末が使われてたし、ほかのデータにはアクセスしてなかったわけで。
てか、デモってそもそもそういうもんでしょw
原文を見る
Also das ist zumindest Mal Eine sehr halbwahre Aussage, da ein gerooted Endgerät genutzt wurde und auf keine anderen Daten Zugriff war.
Außerdem ist das der Sinn von einer Demo
✍️ 管理人: ここ重要ポイントな。「数分で突破」って聞くとヤバく聞こえるけど、実際はroot化（日本で言う脱獄みたいに端末の管理者権限を奪った状態）した特殊な環境でのデモだったらしい。つまり「他人のスマホを遠隔でハックできる」って話じゃないんだわ。セキュリティ研究のデモって最悪ケースを見せるのが仕事だから、条件を省いて見出しにすると印象が10倍盛られるんよな。日本のテレビの「ハッカーが3秒で侵入！」系の演出と同じ構図で、ちょっと既視感あったわ。
別の記事を読んで理解した限りでは、そのデータにアクセスできるのは、該当する端末そのものにアクセスできる場合だけっぽい。
なので脆弱性自体は残ってるけど、何百万人分ものデータを手当たり次第に抜き取れるって話ではなさそう。
それに、そのアプリから抜けるデータの多くは、端末がすでに乗っ取られてるなら、どうせスマホの別の場所からも拾えるものが多いんじゃないかと思う。
原文を見る
So wie ich die Sache aus einem anderen Artikel verstanden habe, ist es wohl so, dass man auf die Daten nur zugreifen kann, wenn man Zugriff auf das jeweilige Endgerät hat.
Damit bleibt die Sicherheitslücke zwar, man kann nach meinem Verständnis aber nicht einfach von Millionen von Menschen die Daten abgreifen.
Außerdem wird man wohl viele der Daten, die man aus der App abgreifen könnte, bereits anderweitig auf dem Handy finden können, wenn man dieses kompromittiert hat.
✍️ 管理人: 冷静な分析で有能。「端末が乗っ取られてる時点でそのアプリ以外も全部危ない」ってのはセキュリティ界隈の基本で、これを「アプリ固有の欠陥」として報じるのはミスリード気味なんよな。ちなみにセキュリティの世界では「物理アクセスされたらゲームオーバー」って格言レベルの常識があるらしい。日本だと2015年の年金機構の125万件流出みたいな「サーバー側から大量流出」が本当に怖いパターンで、今回のとは危険度の桁が違う。この区別ができるコメントが上位に来るの、さすがやわ。
マジでePAみが強いw
原文を見る
Fühle harte ePA Vibes.
✍️ 管理人: これ短いけどドイツ人には刺さりまくってるコメントで、ePAってのはドイツの「電子カルテ（elektronische Patientenakte）」のことな。鳴り物入りで導入されたのにセキュリティ研究者に脆弱性を何度も指摘されて、カオス・コンピュータ・クラブ（ドイツの伝説的ハッカー集団）に毎年のようにボコられてる問題児なんだわ。日本で言うと「またマイナ保険証みたいなことやってんのかよ」ってツッコミに近いニュアンス。どこの国も行政デジタル化の第一歩はグダるんだなって、ちょっと親近感湧いたわ。
> さらにブリュッセル側は、ハッカーたちが古いデモ版を試したのだとしていたが、当のハッカーたちはそれを否定した。のちに「オンラインで公開されている『最終版』も、実はまだデモだった」という説明が出てきた。
今ごろ本物の「最終版」を作ってるプログラマーたち、ソースコードごとピラミッドの中に生き埋めにされてる光景が目に浮かぶわ草
原文を見る
\> Zudem hieß es aus Brüssel, die Hacker hätten eine veraltete Demoversion getestet, was diese aber bestritten. Später kam die Erläuterung, dass auch die online verfügbare „finale Version“ noch eine Demo sei.
Ich stell mir grad vor wie die Programmierer für die echte "finale Version" mit ihrem Sourcecode in einer Pyramide eingemauert werden.
✍️ 管理人: ファーwww「最終版もまだデモでした」はさすがに言い訳として苦しすぎて草。ピラミッドに生き埋めって例え、王の墓の秘密を守るために職人を埋めたっていう伝説ネタで、「絶対に外に漏らせない開発」の皮肉として秀逸すぎるわ。ただ日本でも「本番のつもりがテスト環境でした」って釈明、システム障害の会見で何回か見た記憶があるんだよなあ…。役所の言い訳が世界共通なの、ある意味ほっこりするわ。
💭 管理人の感想
というわけで、EUの年齢確認アプリが専門家に数分で突破された件、現地の反応は意外にも「オープンソースだから見つかった、むしろ健全」って冷静な声が主流だったわ。確かに「破られた」って事実だけ見るとヤバそうだけど、root化端末でのデモだったこと、大量流出につながる類の穴じゃなかったことを考えると、見出しほどの大惨事ではないんよな。むしろコードを公開してるからこそ発売前に叩かれて直せるわけで、クローズドで作って本番で爆発するより1000倍マシっていう理屈は、ぐう正論だと思う。日本に目を向けると、COCOAは4ヶ月間通知が飛ばない不具合が放置されてたし、マイナンバー関連も別人の情報が紐付くトラブルが相次いだけど、ソースを外部の専門家がガンガン検証する文化はまだ弱いんだよな。ドイツにはカオス・コンピュータ・クラブみたいな「政府のシステムを勝手に検証して公表するハッカー集団」が社会的に一目置かれてるっていう土壌があって、この差はデカいと思うわ。あと本質的な論点は「そもそもネットに年齢確認を持ち込むべきか」で、便利さと引き換えに監視インフラが一個増えるリスクは、修正パッチじゃ消えない問題として残り続ける。EU側の「最終版もまだデモでした」って言い訳ムーブも含めて、技術より運用と説明のほうが信頼を左右するんだなって考えさせられたわ。これ前にイギリスのオンライン安全法のスレでも「年齢確認でVPN契約が爆増した」って話題になってたし、規制と回避のいたちごっこは当分続きそう。みんなは「匿名性を少し削ってでも未成年保護」派？それとも「年齢確認そのものがアウト」派？コメントで教えてくれや。
📖 この記事のチャンク〜ドイツ語フレーズを覚えよう〜
“Und das ist gut so.”
🔊 読み方: ウント・ダス・イスト・グート・ゾー
🇯🇵 意味: 「そしてそれでいいんだ」と、現状や結果を肯定的に受け止めるときのフレーズ。
💡 何かの状況や決定を説明した後に「それで正解だ・むしろ良いことだ」と締めくくる場面で使う。例えば「Fehler werden schnell gefunden. Und das ist gut so.（バグはすぐ見つかる。そしてそれでいいんだ）」のように、批判されがちな事柄をポジティブに肯定するときに便利。元ベルリン市長ヴォーヴェライトの名言としても有名で、ネイティブが日常的に使う定番表現。
🌍 他の言語では？
🇺🇸 英語: And that's a good thing. （アンド・ザッツ・ア・グッド・シング）
→ 議論の締めに「それは良いことだよ」と肯定するときの定番で、ドイツ語とほぼ同じ感覚で使える。
🇫🇷 フランス語: Et c'est tant mieux. （エ・セ・タン・ミュー）
→ 「むしろ好都合だ・その方がいい」というニュアンスで、状況を歓迎する気持ちがやや強めに出る口語表現。
🇰🇷 韓国語: 그게 오히려 잘된 거지. （クゲ・オヒリョ・チャルデン・コジ）
→ 「それってむしろ良いことだよ」と相手を納得させる口調で、友人同士のくだけた会話でよく使われる。
🇪🇸 スペイン語: Y eso está muy bien. （イ・エソ・エスタ・ムイ・ビエン）
→ 説明の後に「で、それはとても良いことなんだ」と付け加える自然な言い回しで、会話でも文章でも使える。
※翻訳は意訳を含みます。正確な表現は原文リンクからご確認ください。
※引用元: r/de
コメント