EU デジタルID ウォレット、Google と Apple のセキュリティサービスに依存
原題: European digital ID wallets rely on safety services of Google and Apple
なぜ重要か
EU のテクノロジー主権とDMA の規制目標が、実装段階で民間企業の市場支配力強化に利用される矛盾を露呈。デジタル公共インフラの設計が業界支配構造を固定化する危険性を示す。
欧州各国が展開するデジタルID ウォレットが、Google Play Integrity API および Apple の Managed Device Attestation に依存していることが判明した。これらのリモートアテステーションサービスはウォレットアプリが改ざんされていないハードウェア上で動作することを確認する機能だが、オランダとイタリアなど複数加盟国で採用されている。
欧州連合（EU）が推進するデジタルID ウォレットが、Google と Apple のセキュリティサービスに依存しているという問題が、Follow the Money および Android Authority の報道で明らかになった。
Google Play Integrity API は、デベロッパーがアプリの正当性を確認するための無料ツールとして提供されている。ボットによる悪用やバンキングアプリ詐欺、ゲームでのカンニングなどを減らすのに役立つが、同時に Google がライセンスしていない Android 代替 OS を潜在的なセキュリティリスクとして扱う機能も持つ。Google Play Store をインストール経路として強制し、Google アカウントへのログインを要求する設計になっている。
これに対し、Waag という研究機関は、より開放的な代替案として Android の Hardware Attestation API が存在するにもかかわらず無視されていると指摘する。このAPI は Google のエコシステムポリシーを強制することなく、ハードウェアベースのセキュリティ検査を提供する。
オランダとイタリアのウォレット開発者が Play Integrity を実装した結果、e/OS や GrapheneOS などの Google プリインストールソフトウェア非搭載 OS のユーザーは ID ウォレットサービスへのアクセスが制限される。政府がプライベート企業のプラットフォームポリシーの実行者となる構図が生まれている。
この状況は、EU がデジタル市場法（DMA）で掲げるテクノロジー主権と相反する。ID ウォレットは公的インフラであり、政府サービス利用の鍵となるため、ベンダーロックインのない相互運用性が必須とされているが、その目標が損なわれている。