タグ: api

手段を選ばないコピーは、テック業界ではありふれている。Snapchatに聞いてみるといいだろう。とはいえ通常は文字通りのコピーではなく、より概念的なものである。しかし自動車のAPIスタートアップであるSmartcarは、ライバルのOtonomoがSmartcarのAPI文書を、コピー＆ペーストでパクったと主張している。申し立てによれば元の文書のタイポ（ミススペル）やコード中でランダムに生成された文字列などが一致するほど広範囲に盗用が行われているという。その知的財産に対する盗用を詳細に述べた、一連のスクリーンショットが公開されている。

SmartcarのCEOであるサハス・カッタ（Sahas Katta）氏は、「彼らの従業員の何人かが、私たちの製品を、体系的に使用しているという証拠を握っています。それによれば私たちの製品をフォーマットと機能の両面からコピーしようとしているようです」。スタートアップの広報担当車は筆者に対してこのように述べた「知的財産侵害行為停止通知書を、今朝Otonomoに対して送付したばかりです。その中にはさまざまな違反行為や違法行為に関する点が明記されています」。

Otonomoが取るに足らないスタートアップではないことを考えると、この告発は厄介なものだ。イスラエルを本拠地とするOtonomoは、2015年の創業以来5000万ドル以上を調達しており、その投資家には自動車部品大手のAptiv（以前のDelphi）や一流のVC企業Bessemer Ventures Partnersなどが含まれている。OtonomoのCMOであるリサ・ジョイ（Lisa Joy）氏は、この申し立てに応えて、調査は行うがやましい行動はとっていないことを確信しているという、以下のような声明を発表した。

Otonomoは、自身の知的財産と特許に裏打ちされた、完全にユニークな製品を提供していることに誇りを持っています。私たちはSmartcarからの質問を真剣に受け止め調査を行っていますが、私たちは現時点では厳格で誠実な、私たちの行動基準が破られていないことを確信しています。調査により問題が明らかになった場合には、直ちにそれに対処するための必要な措置を講じます。

どちらのスタートアップも、車のデータをアプリ開発者と結び付けるAPIレイヤーを開発しようとしているため、両社とも車のデータを検索、アンロック、または利用するための製品を開発することができる。マウンテンビューを拠点とする従業員20人のSmartcarは、Andreessen HorowitzとNEAから1200万ドルを調達している。誰がこの市場を勝ち取るかを決定する主な要因は、どちらのプラットフォームが、開発者がAPIを統合するのを最も簡単にする最高のドキュメンテーションを提供できるかというものだ。

「数日前、私たちはOtonomoの公に入手可能なAPIドキュメントに、たまたま出会いました。それを読み進めるにつれて、私たちはすぐに何かがおかしいことに気が付きました。見慣れたもののような気がしたのです。それは奇妙な感覚でした。それもその筈、私たちが書いたものだったからです」とSmartcarはそのブログポストの中で説明している。「Smartcarのドキュメントと、何となく似ている点がいくつか見つかっただけではありません。Otonomoのドキュメントは私たちのものを体系的に書き写したものなのです、全体構造からコードサンプル、そしてタイポに至るまで」。

上の方の図では、比較のために、左にSmartcar、右にOtonomoのAPIドキュメントが示されている。これを見るとOtonomoはほぼ同様のフォーマットを使い、サンプルの中でランダムに生成されたID（ハイライト済み）もSmartcarと全く同じものである。その他の例では、見かけ上同一のコード文字列やスニペットが示されている。

Smartcarの創業者兼CEOのサハス・カッタ氏

Otonomoは、彼らのドキュメントのウェブサイト（docs.otonomo.io）を閉鎖したが、TechCrunchがArchive.orgのWayback Machineを使って参照したところ、2019年4月5日におけるOtonomoサイトの該当部分の内容は、2018年8月にSmartcarが公開したドキュメントとまったく同じものだった。

ここにはSmartcarの「it will returned here」というタイポと、ランダムに生成されたサンプルコードのプレースホルダー「4a1b01e5-0497-417c-a30e-6df6ba33ba46」が含まれているが、どちらもOtonomoのドキュメントのWayback Machineから引き出したコピーの中に含まれていた。このタイポは、今でも公開されているこのバージョンのOtonomoのドキュメントでは修正されているが、コード中の文字列は残されたままである。

「彼らが偶然にランダムに生成された同じ文字列に到達するのは、おそらく100京分の1位の確率でしょう」とSmartcarのカッタ氏はTechCrunchに語る。

にもかかわららず奇妙なことに、OtonomoのCMOはTechCrunchに対して「Smartcarがブログに投稿した資料はすべて公にアクセス可能な文書なので、すべてパブリックドメインの内容なのです」と述べている。だがそれは真実ではない、とカッタ氏は主張する。世に言う「パブリックドメイン」の定義とは、著作権対象外の公開されたコンテンツのことである。「もちろん私たちはそれをパブリックドメインのものとは考えていません…一番下には正しい著作権表示が行われています。私たちの製品は私たちの知的財産です。TwilioやStripeのAPIドキュメントのように、それは公開されていて誰でもアクセス可能ですが、それは権利保護されているのです」。

Otonomoのリサ・ジョイ氏は、彼女のスタートアップが現在シリーズCの資金調達中であると述べている。伝えられるところでは、既に韓国のエネルギーならびにテレコムホールディングスの巨人SKから1000万ドルを調達しているらしい。「私たちは現在資金調達ラウンドの最中です。ラウンドはまだ終了していません」と彼女は私に語った。だがもし、OtonomoがどうやらそのAPIドキュメントをコピーしたらしいということになった場合には、それは開発者に対する名声を傷付け、おそらく資金調達ラウンドを危険に晒しかねないことになるだろう。

[原文へ]

（翻訳：sako）

一般的に使われている２種類の自動車用アラームシステムが、セキュリティの脆弱性を修正した。それらのシステムの以前の状態では、研究者が車両を遠隔操作で追跡し、乗っ取って、その車をコントロールすることができた。

英国のサイバーセキュリティ会社のPen Test Partnersの研究者によると、ロシアのアラームメーカーのPandoraと、米国カリフォルニアに拠点を置くViper（英国でのブランド名はClifford）によって開発されたシステムは、簡単なサーバー側のAPIの操作に脆さを露呈した。米国時間の3月8日に投稿されたところによれば、APIを悪用して、アラームシステムのユーザーアカウントと、その車両の制御を獲得することができたという。

その脆弱なアラームシステムのAPIは、リクエストが正当なものであるかどうかを確認することを怠るため、そのアカウントのパスワードをリセットするよう騙すことができ、研究者がログインできた。

研究者はテストのためにアラームを購入したが、「だれでも」本物のアカウントにアクセスするためのユーザーアカウントを作成したり、その会社のすべてのユーザーデータを引き出すことができる状態だったという。

研究者によると、全世界でおよそ300万台の車がこの欠陥の影響を受ける状態にあったはずとのこと。

このハッキングの実証実験では、研究者はターゲット車両の地理的位置を特定し、それをリアルタイムで追跡し、実際に追尾して、遠隔操作でエンジンを切り、車を停止させ、ドアのロックを解除した。研究者は、脆弱な車両を乗っ取るのは「取るに足らない」ことだったと述べた。さらに悪いことに、車のモデルを特定できる場合もあり、高価な車を見定めて乗っ取ることを容易にする。

さらに研究者は、車載マイクロフォンの音声を聞くことができることまで発見した。それは、緊急サービスへの電話や、ロードサービスのために、Pandora社のアラームシステムが備えているものだ。

Pen Test Partnersの創立者であるKen Munro氏は、これは彼らとして「最大の」プロジェクトだったと、TechCrunchに語った。

こうした脆弱性の深刻さを考慮して、研究者は７日間の開示期間を設け、PandoraとViperの両社に連絡を取った。両社とも即座に応答し、この欠陥に対処した。

問い合わせに対し、ViperのChris Pearsonは、その脆弱性が修正されたことを認めた。「悪意によって使われた場合、その欠陥によって承認なしに顧客のアカウントにアクセスされる可能性がありました」。

Viperによれば、サービスプロバイダによる最近のシステムアップデートのせいで発生したバグであり、問題は「すみやかに修正された」ということだ。

「Directed社（Viperの親会社）は、この脆弱性が存在した短期間の間に、顧客データが露出されることもなく、承認なしにアカウントがアクセスされたこともなかったと確信しています」と、Pearson氏は述べた。しかし、会社がどうやってそういう結論に達したのかという証拠は明らかにしなかった。

一方、PandoraのAntony Noto氏は、長いメールで研究者の指摘に反論した。要約すると、「システムの暗号化は破られず、リモートコントロールはハッキングされず、タグは複製されていません」ということ。「ソフトウェアの不具合により、一時的に短期間だけデバイスにアクセスすることができましたが、現在は対処されています」。

今回の調査は、CalAmp社に対して昨年行われたVangelis Stykasによる研究に続くもの。同社はViperのモバイルアプリの基盤となっているテレマティックスを提供している。Stykasは、後にPen Test Partnersに入社し、カーアラームの調査プロジェクトにも携わった人物。Viperのアプリが、アプリ内にハードコーディングされた認証情報を利用して中央のデータベースにログインしていることを発見した。それにより、ログインしている人は誰でも、接続された車をリモートコントロールすることができる状態になっていた。

（関連記事：Outdoor Tech’s Chips ski helmet speakers are a hot mess of security flaws）

［原文へ］

（翻訳：Fumihiko Shibata）