マイナンバーのポータルサイトでJavaが必須となった理由 124
ストーリー by hylom
WebブラウザにICカードアクセス機能を実装して貰おう 部門より
WebブラウザにICカードアクセス機能を実装して貰おう 部門より
先日マイナンバーサービスのポータルサイト「マイナポータル」がオープンしたが、このサイトはJavaが必須となっている点が議論となった。これについて内閣官房・番号制度推進室番号制度推進管理補佐官の楠正憲氏がJavaを必須とした背景を説明している（日経ITpro）。
Javaを採用した理由は、WindowsおよびMacの両方をサポートするためとのこと。マイナンバーカード内のICチップに保存されている情報にWebブラウザアクセスするためには、現時点では何らかのアドオンが必須となっており、マイナポータルではそのためにJavaを選択したとのこと。それ以外にもWebブラウザからICチップにアクセスする技術はあるものの、WindowsとMacの両方に対応させるにはJavaを使用せざるを得ない状況だという。
また、Javaプラグインは現在多くのブラウザで非推奨とされていることから、対応ブラウザがはInternet Explorer 11（32ビット版）とSafariのみになってしまったという。
対策として政府側はAndroidアプリを2017年度中にリリースするほか、スマートフォンアプリと連携することでJavaや関連ソフトウェアをインストールせずに利用できる環境構築を目指すという。
もっといい手が (スコア:2, おもしろおかしい)
日本独自実装なんて今更珍しくもないので
各キャリアにプレインストール実装を通達
開発はもちろん各メーカー持ち
メーカーは黄金色のお菓子を持っていくと仕様書がもらえる
法規制で指定のマイナンバーアプリがないスマホを使用禁止
需要創生で鞭に対する飴も万全
穴が見つかっても修正がサポート期間内に間に合わないと逃げてもOK
北や中の方から称賛されて売国実績も鰻登り
# ありそうでこわい
デスクトップアプリの開発コストをわかっていない (スコア:2, おもしろおかしい)
あまりに無知なコメントばかりなので。
デスクトップアプリは、
・実行環境が際限なく多様でありうる
・アタックがWebアプリよりはるかに容易なため、セキュリティを維持するためには、極めて高度なレベルの耐タンパー性が要求される
という問題があり、Webアプリと比べて開発ははるかに困難だ。
「幅広い国民が使えなければならない」（＝多様な実行環境に対応する必要することが求められる）
「きわめて高度なセキュリティが要求される」
という2点を現実的なコストで両立させるのは、私に言わせれば、デスクトップアプリではぜったいに不可能だ。
政府の判断は間違っていない。
なぜ世の中が猫も杓子もWebに移行したのか考えてみるべき。
Re:デスクトップアプリの開発コストをわかっていない (スコア:2)
君があまりにも無知だということは分かった。
ブラウザを使えば安全になるって?それこそ馬鹿馬鹿しい見当違いだよ。
Re:デスクトップアプリの開発コストをわかっていない (スコア:2)
ついでにいうとデスクトップソフトウェアのインストールもマイポータルを動かすために必要だよ。
取り扱い説明書を読もう。
Re:デスクトップアプリの開発コストをわかっていない (スコア:1)
Windowsのアプリに対する互換性って、Webと比べても同等以上はあると思うのだけど。
Mac限定って話なら分かるけどね。
＞アタックがWebアプリよりはるかに容易なため
これは意味わからないな。
まずは何を守りたいのかが明示されていないので、想像だが、サーバーを守りたいなら、デスクトップアプリだろうが、Webアプリだろうがセキュリティに差がない。
仮に差があるのならデスクトップアプリもHTTPSでサーバーと通信すればいい。
ICチップを守りたいなら、チップ自体に耐ダンパー性があるから、デスクトップアプリでもWebアプリでも関係ない。
Re:デスクトップアプリの開発コストをわかっていない (スコア:1)
Re: (スコア:0)
なるほど…作るだけじゃないんやでお前ら、って事っすか。
「極めて高度なセキュリティ」を求められ続けるなか、
今でも息をしていてWin/Mac両方行けるのはJavaしかないと。
Javaも大方息止まってますので難しいねぇ
PCが自由度高すぎるのか…
Re: (スコア:0)
いつからブラウザプラグインがデスクトップアプリではなくなったの?
Re: (スコア:0)
>・アタックがWebアプリよりはるかに容易なため、セキュリティを維持するためには、極めて高度なレベルの耐タンパー性が要求される
なぜですか？
専用アプリは、機能的には現状のWebブラウザ+Javaアプレットでやっていることと同等のことをやればいいですよね。
専用アプリとWebアプリで、アタックのしやすさに大きな差が出るとは思えません。
Re:デスクトップアプリの開発コストをわかっていない (スコア:2)
Windows は Smart Card API があるから、ドライバを直に見る必要はない。
ICカードはそもそも鍵がソフトウェア的に取り出されないものだし、
ただカード使って署名するだけなんだから、危険も特にない。
つまり、ブラウザがICカードにアクセスできないのがそもそもオカシイ。
Re:デスクトップアプリの開発コストをわかっていない (スコア:1)
anti-tamper のことを「対ダンパー」って書いてる時点で説得力がないと思うんですが。
Re:デスクトップアプリの開発コストをわかっていない (スコア:2)
あのドロイド?R2-D2のことかな?対応アプリなんてあったっけ?
平等を突き詰めると不便になる (スコア:2)
一部に不便を強いることを忌避するあまり全てについて平等に不便になった、ということですな。
ことわざで言うと、本末転倒ってやつですな。
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
本当の答え (スコア:2)
開発陣が無能。
ChromeのUSB APIを使えばよかったんじゃないかと思ったが、あれもデスクトップサポート終了するね。どっこいどっこいか。
現状では微妙 (スコア:1)
うーむ、WebでSmart Cardを使えるようにするための標準は、検討されていたけれども進んでない模様。
Smart Card Interaction with Web Users, Browsers and Servers
https://www.w3.org/2012/webcrypto/webcrypto-next-workshop/papers/W3C_H... [w3.org]
Using the W3C WebCrypto API for Document Signing
https://www.w3.org/2012/webcrypto/webcrypto-next-workshop/papers/Using... [w3.org]
WebUSBがあったはずと思ったけれども、こちらもまだですね。
WebUSB API
https://wicg.github.io/webusb/ [github.io]
Chrome OSではどうしているのだろうと思ったら、
GoogleはChrome用の拡張としてSmart Card Connectorを提供しているようです (ユーザー数はたった6000人ちょいですが)。
https://chrome.google.com/webstore/detail/smart-card-connector/khpfeaa... [google.com]
Re:現状では微妙 (スコア:1)
ICカードリーダーってUSBの標準クラスに無い程度のもんだからね
シェア (スコア:1)
10%もないシェアのOSのためにブラウザ＋Javaにする必要あるのかな？
.NET FrameworkでWindows専用アプリ使ったほうが色々楽そうなのに。
Re:シェア (スコア:1)
ブラウザに拘る意味が分からんな。Javaのクライアントソフトでは何故いけないんだ。双方が同じバイナリでなければ
いけない技術的な理由が何かあるのか。
ブラウザを絡めることを目的化して専用プラグインと連携するような設計をとると、必ずブラウザのバージョンずれで
問題を起こすものなのだから、早いところ諦めてほしいものだ。
専用プラグインが必要なくらいなら、部品の寄せ集めで作るやっつけ仕事ではなくて、Windows StoreやMac App Storeで
配布するまともなアプリとして開発すべきだ。
Re:シェア (スコア:1)
Java Web Startというのがあってだな。(.jnlpに関連付けられたアプリを実行するだけだからブラウザーに依存しない)
Re:シェア (スコア:2)
Java Web Start＋JavaFXでのデスクトップアプリはもうちょっと評価されてもよいのではと思います。
Re: (スコア:0)
だいたい合ってると思うんだけど、最後の公式ストアだけでの配布はちょっと…
ストアアプリのないWindows7にも対応させてあげてください。
Re:シェア (スコア:1)
なぜ?
業務プログラムだけを使う一部の端末はともかく、インターネットに接続されている端末は順調にWindows 10への移行が
進んでいる。Windows 8以降はセキュリティ面でも大きく改善しているとされているし、障碍者やユーザ支援技術を使って
いる人には、MicrosoftがWindows 7や8から10への移行プログラムも無償で提供している。
OSベンダのストアは、開発する企業に加えて、ストアを運営するベンダも電子署名を付けて真正性を証明する仕組みに
なっているし、アドレスを手で入力して偽サイトに騙される危険も少ないだろう。
Windows 7やストアを使えない人のために単体インストーラの形でも配布してもよいけども、一般の利用者の安全でスムーズな
利用のためには、こういったクライアントは正規に用意されたストア経由での配布を基本とするべきではないだろうか。
Re: (スコア:0)
うん、公式ストアの配布を基本にしていいから、Windows7にも対応させるには単体でも配布しないとねって意図のコメントでした。
別に公式ストアの配布を否定してるわけじゃないっす。
Re: (スコア:0)
win32で作ってストアで配布すれば。7向けだけどっかのサーバから配布する。
Re: (スコア:0)
マイナンバーのサービスということは、国民すべてにかかわることだし、
かなりコストかかってもまともなものを作った方が、多くの人に使ってもらえてコスパは良い気がする。
国や大企業が外注して作るアプリやサービスって、だいたい使いにくいだけで、誰も使わなくなるんだよね。
なんかもう作ることが目的で、公開はするけどおまえら使ってくれるな、みたいな雰囲気をいつも感じる。
これに予算いくらついたんだろうなぁ。みなさんなら、いくらで作るだろう？
Re: (スコア:0)
まあ、10％もあればそれなりにユーザー数はあるんじゃないですか。
最近は若干シェア落ちてるようですが。
Re: (スコア:0)
Re:シェア (スコア:1)
JREをインストールさせてる時点でそのルール破ってる
Re: (スコア:0)
おっさんの妄想楽しそう
Re:シェア (スコア:1)
いまさら１９８４ってどうなんだろうと思ったら、大人気らしい。
小説「1984年」人気 米で、トランプ政権発足後 - 社会 : 日刊スポーツ
http://www.nikkansports.com/general/news/1770363.html [nikkansports.com]
いまから読んでどうするという気が……
Re:シェア (スコア:2)
それで事が済むならそれでもいいと思っています。
カードの読取りも最初からついてる機種多そうだし。
なぜブラウザを使うのか (スコア:1)
PCやMacでも専用のプログラムにして、それを配布すればいいだけじゃないか。
Androidでできていることを、なぜPCでは難しい実装方法にしてるのか？
Re:なぜブラウザを使うのか (スコア:2, すばらしい洞察)
設定プログラムをインストールさせているんだから(しかも複数)それをクライアントプログラムにできない理由が一切ないよな。
Re:なぜブラウザを使うのか (スコア:1)
そういう判断をできる人が、発注者側であるお役所に一人もいないからでは？
実際に二つ(以上)のプラットフォームをサポートする場合に、
それぞれ個別にアプリを作るか、できれば共通化するかは難しい判断だもの。
ブラウザアプリで完結するならそれで作っておけばまず無難というのは分かるけど、
ICカードサポートってなった時点で、ブラウザアプリを諦めた方が無難という
判断が彼らに出来たかどうか。
Re: (スコア:0)
いやだから、開発コストと保守コストがかからないようにって
元記事に書いてあるでしょ
Re:なぜブラウザを使うのか (スコア:3, 興味深い)
普通に考えて、無理やり最近のブラウザからスマートカード使うよりは、専用アプリの方が運用保守含めてまだ安く済むと思うんですけど…
本当にブラウザ+Javaアプレット+カードリーダードライバ利用のほうが全体的に安いの？
もうすぐJavaアプレットなんか使えなくなるから、そしたらまたシステムごと更新でしょ？
ニュース鵜呑みにしてどうすんのよ。
Re: (スコア:0)
つまりJavaアプリでライトワンスデバッグトゥワイス？
Re:なぜブラウザを使うか (スコア:0)
二個アプリ作ったら二倍の人工がかかるのは自明
実際はどうあれ、営業はそう持ってくると思う
計算も単純明快に説明できるし
実際にかかる工数なんかあまり関係なくて
ある期間人を雇い続けるための見積なんですよ
税金の無駄遣い (スコア:1)
マイナンバーのポータルサイトでカードが読み取れる仕様を捨てちまえ
コストに見合った結果が得られるとは到底思えん
真剣な話IE11向けというのは悪い選択ではないと思う。 (スコア:1)
真面目な話ウインドウズ向けをIE11に絞ったのはいい手だとは思う。7にしろ10にせよIE11は機能の追加もなく変更もないので環境として非常に安定している。つまり今後の改修が少なく済む。だからブラウザアプリとしては実に楽ちん。Vistaはもうすぐ終わるしね。問題点としては64bit版のウインドウズだと32bit版のIEが使えないってこと？
実際問題そのへんどうなんでしょうか？
言ってることがわからん (スコア:0)
パソコンのブラウザでICリーダー使うにはJavaかActiveXの二択でそれ以外ないの？どっちもインターネット利用では危ない技術認定されてるのに。
で、Androidなどでは普通に使える？
なら簡単。必要ないのはパソコンでアクセスできる環境の方だ。
Re:言ってることがわからん (スコア:5, すばらしい洞察)
ない。あっても間違いなく同程度以上のリスクを負う。
何故、「危ない技術認定」されているのか？ICリーダーはブラウザの「外」＝そのWebページ以外の「資産」であり、JavaかActiveXがソレを利用可能だから。
ICリーダーが使えるのなら、それ以外のUSB接続機器やHDDにもアクセス可能となる。
つまり「ブラウザでICリーダー使う」技術は（JavaやActiveX以外の新しい技術でも）それを可能とした瞬間にほぼ間違いなく「危ない技術認定」される。
利用できるとしたら「PCにアプリケーションをインストールさせない」というルールがiOSやAndroidには適用されない場合のみ。
スマホにも適用されるとしたら間違いなく使えない。
違う。上記の「PCにアプリケーションをインストールさせない」というルールの撤廃だ
Re:言ってることがわからん (スコア:1)
NFC対応スマホで利用できるように検討中みたい。
http://www.soumu.go.jp/kojinbango_card/kojinninshou-01.html [soumu.go.jp]
GoogleやAppleに働きかけた方が話が早いかもね。
署名でも集めてみる？
Re:言ってることがわからん (スコア:1)
そもそもマイナポータル自体が必要ないのではないかな。
Re: (スコア:0)
adobe AIR・・・
なんかさぁ (スコア:0)
認証の手間を省きたい（実装面倒くせぇ！）ってのが本音のように思えるんですけどね。
本当に作る気があるなら、なんで32/64bit環境考慮しないんでしょうか。
開発環境がないだけ？
全国民に配布する前提なら専用端末作ったほうが安くね？ (スコア:0)
数千万台が確実に納入されるならそこいらの国産スマホよりも量産効果は高いし、スマホに比すれば既存の安価な部材だけで作れるし・・・・・・
と、テキトーなことを言ってみる。
Re:Twitterで見たけど (スコア:1)
Re:よくわからないんだけど (スコア:1)
> カードに証明書入ってんだからそれを出力させてHTTPSの鍵に使えばいいんじゃないの？
証明書だけでは検証はできても鍵には使えない（秘密鍵が必要）
カードからは証明書は取り出せても秘密鍵は取り出せない。
Re:よくわからないんだけど (スコア:1)