Baidu IMEとShimejiの入力ログ外部送信とAndroidのIME使用許諾について思うこと。

公開日：2013/12/28 最終更新日：2014/08/14

すいません m(_ _)m、本記事はブログ引越時に書式が崩れました。順次修正中です。

ℹ️本記事にはPRが含まれています。

最近、話題になっている話として、Baiduがリリースしている日本語入力プロセッサ（日本語変換）、PC用では「Baidu IME」、Android用では「Shimeji」という製品がありますが、入力した内容を外部サーバーに送信していた！というニュースがあります。実は、先日、Nexus7で「Google日本語入力」を試していたのですが、その時に表示された使用許諾も無茶苦茶だよな、なんて思ったことがあったので、思ったことをつらつらと書いてみます。

■BaiduのIMEとShimejiの問題とは？

最近はNexus7（Android OS）にて遊んでいるのですが、ちょうど、他に何かいいIMEないかな？なんて思っていたところなので、自分にとってかなりタイムリーなネタです。

NetAgent Official Blog : 入力情報を送信するＩＭＥ

Baidu IMEとShimejiは、入力された情報を外部サーバーに送っていたとのことです。もともとクラウド変換機能があることから、当然、その機能を使えば入力情報は送られることになります。使う側はそれを承諾してね、ということで、基本的には問題が無かったと考えられます。

一番目の問題として、Simejiについては、ログ送信の許諾を得ていなくても、一部のログデータが送信されていることが確認されたとのこと。ここが一番問題だと思います。

二番目の問題として、送られていることに関する説明が弱かったのかもしれません（という疑問点については、次項にて書きます）。でも、ユーザーは承諾しているはずなので、「問題になったから問題だと考えるようになった」と考えるのが自然かもしれません。

三番目の問題として、さらに、変換確定文字列以外のデータも送信されていたという情報があります。具体的にはWindows PCのセキュリティ識別子（SID）や端末識別子（UUID）などの、端末を特定＝個人を特定する情報が含まれていたとのことです。そうなると、仮にBaiduに悪意が無かったとしても、疑われてもしょうがないでしょう。

また、上記の情報によれば、「パスワードなど半角入力のみの場合は送信されていません。クレジット番号や電話番号も変換しなければ送られません」「Baidu IME ,　Simejiでは、全角入力の場合のみ情報が送信されています」とのことなので、実際にはなんでもかんでも、ということはなさそうです。ただし、クレジットカード番号を変換したら収集の対象になるかもしれません。

また、それ以外にも、Baiduから「そもそも、その手の情報は収集していません」という情報が出ています。

Baidu（バイドゥ）ニュース – Baidu.jp に関するニュース

■AndroidにIMEをインストールする時の疑問

「バグ」も一因と説明：まとめ：「Baidu IME」と「Simeji」で入力データを外部送信 – ＠IT

こちらの記事を読むと、まるでATOKだけが「注意：この入力方法を選択すると、すべての入力内容をアプリ（＊＊＊）に許可することになります。これにはパスワードやクレジットカード番号などの個人情報も含まれます。この入力方法を使用しますか？」というメッセージを出すように読めます。

このメッセージ、実際にはAndroid OSが出しているもので、Google日本語入力をインストールした時にも表示されます。我が家でNexus7にGoogle日本語入力をインストールしたら、以下のようなメッセージが表示されました。

従って、ATOKが云々という話ではありません。ちなみに、ATOKやGoogle日本語入力では、入力文字の送信は行っていないとのことです。っと。このあたりを説明している、ちょうどいい記事がありました。

AndroidはIMEインストール時に“警告”表示で注意喚起　Google日本語入力は「入力情報の送信はしていない」 – ITmedia ニュース

このメッセージからいけば、そもそも、「Shimeji」をインストールした人は、これらに対して許諾してていることになります。でも、そこまではしてないだろう、大丈夫だろう、とか、信用できるんじゃないの？という考えの元、使用されているのではないかな？と思います。

現実論として、なんとも、ユーザー任せすぎるというか、判断するにはあまりにも情報が少ないメッセージだと思います。今後、改善をお願いしたいところです。

■今日の一言二言三言

もうちょっと　考えてほしい　注意文

いろいろな人が使うわけですから、もうちょっと考えた文面や、危険の分解度で注意喚起してほしいものです。実際に収集しているかどうか問わず、ワーストケースを書いとけばいい、みたいな感じで、判断のしようがありませんよ。さらに、UIDなどの情報収集要否など、もう少し細かく制限かけたいです。今だと、「アプリの権限」で使用するリソースを宣言されて、という感じで同意する、或いはインストールしない程度の選択肢しかなく、細かくユーザーが選択することはできません。

個人的には、「自分に連絡するという使用範囲で教えた連絡先を、自分に許諾することなく相手先から吸い上げて、サービスに利用し、クラッキングされる可能性のあるような危険な状態に置いている」のも、もっと話題になってもいいと思ったりしますが…（実際、過去に情報流出していますし）。