スタンフォード・インターネット・オブザーバトリー（SIO）の最新調査で、Clubhouse（クラブハウス）入室中の各利用者のメタデータを含むパケットがエンド・トゥ・エンド暗号化もない平文でAgora社に送られていることがわかり、Clubhouse社が対応に追われています。
API開発のAgora社はシリコンバレーのサンタクララと中国上海にオフィスを構えています。Clubhouseをはじめ世界中の企業にAPIを提供しているのですが、Clubhouseとの関係は一度も正式には公表されていません。
そんなわけで、Clubhouseが開発したのはUI的な部分であって、Clubhouseの音声プラットフォームを動かしているのは上海Agora社なんです。音声データのホスティングをしているのもAgora、インターネット配信をやっているのもAgora。
となると、気になるのはAgoraのサーバーの所在地ですけど、これは米中両国にまたがっていますので、仮にClubhouseの音声データが中国側のサーバを経由する場合、中国政府から捜査や治安目的で会話のデータの引き渡しを求められたら応じなければならないという、やっかいな法的義務が生じます。
そこで心配になってスタンフォード大がネットワーク解析ツールのWiresharkなどを使って調べてみたら、データは案の定Agora経由で処理されていることが判明。ユーザー固有IDとルームIDのメタデータが暗号化もない平文で送られている実態までわかってしまったのでした。
●Clubhouseは72時間以内にセキュリティ強化を約束
Clubhouseは同大の協力を得ながら、暗号化を強化し、中国国内のサーバーに情報が送られないよう対策を進めることを明らかにしました。
AgoraとClubhouseには米Gizmodo編集部からもコメントをリクエスト中ですので、 お返事があり次第アプデします。
https://www.gizmodo.jp/2021/02/clubhouse-agora.html