仏政府、公務員専用チャットアプリ「Tchap」のβ版、公開直後にバグ指摘→修正

フランス政府が国家公務員専用のエンドツーエンドで暗号化するチャットアプリ「Tchap」のβ版を公開した。公務員にしか使えないはずのこのアプリに簡単にログインできたとセキュリティ研究者が指摘し、修正された。

[ITmedia]

　仏政府は4月19日（現地時間）、国家公務員専用チャットアプリ「Tchap」（iOSおよびAndroid）のβ版をリリースしたと発表した。

「Tchap」（Google Play Store）

　「WhatsappやTelegramなどの消費者向けアプリに代わる安全な手段を公務員に提供することを目的とする」という。エマニュエル・マクロン大統領はTelegramユーザーとして知られている。

　Tchapの特徴は、エンドツーエンドの暗号化。分散型メッセージングのオープン標準「Matrix」を採用するオープンソースのチャットクライアント「Riot」をベースに、国家情報通信システムの省庁間総局（DINSIC）が中心となって開発した。アプリでのやりとりはすべて暗号化されてフランス国内のサーバに保存され、添付ファイルはウイルスチェックされる。

　また、Tchapは一般のアプリストア（App StoreおよびGoogle Play Store）で公開されているが、利用するには国家公務員の公式メールアドレスが必須で、公務員以外は利用できない。

　これにより、国家公務員は安全に機密情報をやりとりできるはずだった。ところが、発表直後にセキュリティ研究者のエリオット・アンダーソン氏（別名バプティスト・ロバート）がMediumで、公務員でなくても簡単にTchapを利用できたとしてその方法を説明した。

エリオット・アンダーソン氏のMedium投稿

　これを受け、Matrixがバグを修正し、現在のバージョンではアンダーソン氏の手法ではログインできなくなっている。

　仏政府は発表文で、「このβ版は、UIとセキュリティの両面で継続的に改善していく」と語り、近くバグバウンティ（脆弱性情報への奨励金プログラム）を立ち上げるとしている。