要約

  • DULTのアクセサリープロトコル草案は、設定時に確認可能な所有者情報をタグの識別子と結び付け、識別子照会の応答に電話番号の末尾４桁か一部を伏せたメールアドレスの少なくとも一方を含めるよう求める。
  • ただし、固定された識別子と断片的な個人情報を組み合わせればタグを識別できる。照会は所有者から離れた状態の登録済みタグに限られ、Bluetooth経由には利用者の操作が必要だ。NFCでは実物への近接が意図を示し得る。

手掛かりの価値と、その代償

警告を受けた人がタグを見つけても、警告画面だけでは「誰の物か」は分からない。電話番号の末尾やメールの一部なら、家族や知人の物かどうかを判断する助けになる。草案の所有者登録条項は、タグの関連付け時に確認可能な身元情報を記録する。サーバーからプラットフォームへ返す識別子照会の応答には、二種類の伏せた情報のうち少なくとも一つを含める。両方の開示や完全な連絡先の公開を求めているわけではない。

しかし、見覚えのある４桁は他人にとっても照合材料になる。草案の安全性の章は、固有で安定した識別子に一部の所有者情報が加わると、タグ自体が識別可能になると警告する。そのため、問い合わせを送るあらゆる端末へ識別子と伏せた情報を直接渡すべきではない。紛失したタグが周囲の端末すべてに答える設計では、所有者を探す機能が所有者を探し回る機能に変わってしまう。これは具体的な被害事例の報告ではなく、草案が対象にする設計上の危険だ。

照会の許可は、登録済みのタグが所有者から離れた状態にあることを前提にする。さらに、Bluetoothのような長距離の無線経由なら利用者の操作を要求する。NFCなら、タグに読み取り機を近づける行為が意思表示として認められ得る。プライバシーの章は理由も明示する。NFCで識別子を読むことは実物の所持を示すが、Bluetoothの電波が届いたという事実からは所持を推定できない。電波の到達をそのまま人間の意図に読み替えるのは、プロトコルが設けた区別を消すことになる。

所有者以外の端末に対し、タグは個人を特定できないデータだけを出す必要がある。草案は、暗号化され、照会同士を結び付けられないペイロードをタグが返し、タグのネットワークサービスだけが復号する方法を示す。サービス側には頻度制限や不正対策という手段がある。ペイロードの認証と再利用防止も、以前取得したデータを使い回して所有者情報の変化を追う行為を防ぐために挙げられる。情報を出すかどうかの判断を、近くの端末からサービスの管理点へ移す設計である。

所有者登録情報の保存にも期限の考え方がある。草案では、関連付け解除後も少なくとも25日間は保存し、その後は削除することが推奨される。定められた手続きによる有効な法執行機関の請求には、利用可能な情報を提供するよう推奨する。拾得者への伏せた情報の提示と、法的手続きに基づく情報提供は同じ窓口ではない。「推奨」は草案のSHOULDという強さを表し、既存製品の実態や法令を断定するものではない。

Datatrackerの記録では第01版は作業部会の現行Internet-Draftであり、RFCではない。特定の製品について、警告、利用者の操作、サーバー照会、再照会、削除まで追える公開記録はまだない。その記録があれば、設計の約束が実装で守られているかを判断できる。

出典