ClubhouseはLINEより危険なのでは

Clubhouseは中国のAgora社の音声配信システムを利用している。かなりリバースエンジニアされており、例えばOpen Clubhouseは公開されたAgora APIを経由して音声データの配信が可能なようだ。

Clubhouseの参加時にアドレス帳データを抜かれるため、よほどLINEより危険だと感じる。セキュリティの専門家がClubhouseに招待してたなんて事にならない為にもご注意下さい。


Avatar
GitHub.com
ai-eks/Open Clubhouse
A third-part web application based on flask to play Clubhouse audio.

Open Clubhouse 意図、技術などについて

  1. これはクリエイティブなおもちゃであり、遊びの実験です。IOSアプリの制限を取り除くことで他の人の助けになります。
  2. パブリックチャネルを公開するだけです。私の声明とこれらの2つのリポジトリでアクセスについて明確に書いています。あなたがシステムエンジニアではないか、背後にある技術を知らない場合は学習が必要です。ただし、過度に推測しないでください。
  3. このプロジェクトは簡単に実施できます。いくつかのClubhouseAPIAgoraAPIを呼び出すだけで、情報を照会して承認を取得します。Agora APIは公開されており、ありがたいことにClubhouseAPIは他のユーザーと共有されています。
  4. 誰かがこのアプリでルームを開催した後、別の人が同じルームを開催した場合。Agoraは接続が切れます。しかし、切断アクションはクライアント側で行われているようです。そこで、AgoraRTC_N-4.3.0.jsに少し変更を加えて、接続を維持します。そのため、このファイルにはオンラインのjsリソースを使用しませんでした。私はそれを仕上げるのに3日を費やすつもりでしたが、問題が解決せず開発を5日に延長しました。
  5. iPhoneのネイティブ録音ツールで誰でも音声を録音できます。また、Webやその他のデバイスから音声を録音するのも簡単です。4. の問題を解決する前に、MediaRecorder WebAPIによって音声の再コード化が行われています。ただし、チャット全体が巨大なスライスに分割されているため、現在、組み合わせるのは簡単ではありません。
  6. 最後に、CHロボットアカウントのアバターはUmbrellaCorporationのロゴの一部です。

声明文

これはサードパーティのClubhouseオーディオプレーヤーです。みんなに声が届けばいいなと思います。つまり、Android、デスクトップコンピューター、および招待コードを持たないすべての人のためのオープンなClubhouseクライアントです。

すべての部屋へのアクセスは私の個人的なセッションから取得され、音声のすべての著作権はJoinClubhouse.comとそのユーザーに帰属します。

ご質問やご提案がございましたら歓迎します。

参照


GDPR違反について

更に2021/3/19 時点でGDPR違反についても問われています。

フランスのデータプライバシーウォッチドッグは、GDPRに準拠するために講じた(または講じなかった)措置に関して、規制当局のリストに追加されClubhouseアプリケーションの発行元であるAlphaExplorationの調査を開始しました。

ドイツに続き仏プライバシー監視当局も苦情・嘆願書を受けてClubhouseの調査開始

Clubhouseは、ユーザーの電話帳に入っている連絡先データをアップロードし、取得した電話番号を使って利用状況のグラフを作成し、ユーザーがサービスに招待する連絡先を選択する際に非ユーザーの同アプリ上での「友達」の数を表示することができるなど、プライバシーに関わる問題を抱えていた。
また、CNILへの嘆願書は、Clubhouseが保有するユーザーの連絡先に関する「秘密のデータベース」が第三者に販売される可能性があるとしている。

2021年3月20日 by Natasha LomasAya Nakazato TechCrunch Japan

投稿者: 二本松 哲也

SPbD:Security&Privacy by Design Founder ー OWASP Member ー ITは人々の生活をあらゆる面でより良い方向に変化させること ー 競争原理から共創原理へ