ソースコード開示を強制する中国

「ＩＴ製品、ソースコード開示せよ」…中国が外国企業に要求へ
(2008/9/19, YOMIURI ONLINE)
http://www.yomiuri.co.jp/atmoney/news/20080919-OYT1T00011.htm

朝っぱらからとんでもないニュース。どう考えてもありえない。
エントリのタイトル考える余裕も吹っ飛んでしまいました。

以下、ちょっと長いけど引用です。

　中国政府が外国企業に対し、デジタル家電などの中核となる製品情報を中国当局に開示するよう命じる新制度を２００９年５月から導入する方針であることが１８日わかった。

　対象はＩＣカードやデジタル複写機のほか、薄型テレビなども含まれる可能性がある。開示を拒否すれば、その製品の対中 輸出や中国での現地生産、販売が一切禁止される。企業の知的財産が中国企業に流出するおそれがあるほか、デジタル機器の暗号技術が中国側に筒抜けとなる安 全保障上の懸念もある。経済産業省や米通商代表部（ＵＳＴＲ）などは制度の撤回を強く求める構えで、深刻な通商問題に発展する可能性がある。

　中国は、新制度を「ＩＴセキュリティー製品の強制認証制度」と呼んでいる。具体的には、対象となる製品について、デジタル家電などを制御するソフ トウエアの設計図である「ソースコード」の開示を外国企業に強制する。対象製品は、開示されたソースコードに基づく試験と認証機関による検査に合格しない と中国で製品を販売出来ないという、国際的に例のない制度だ。

中国の強制認証制度そのものは今に始まった話ではなく、
“China Compulsory Certification”（中国強制認証）というものが
2002年5月から実施されています。
どんな制度かというと、↓みたいな感じ。

中国のCCC認証及びCQC認証業務(JET)
http://www.jet.or.jp/cooperation/index4.html

けっこうな品目が対象となっており、輸出企業にとっては
それなりに負荷の高い業務でした。
そして2008年1月、中国政府が発表した公告。

「部分情報処理のセキュリティ製品に関する強制認証実施の公告
2008 年第7 号」
(社団法人コンピュータソフトウェア協会)
http://www.csaj.jp/government/other/2008/080627_list.pdf

中国のセキュリティ製品の強制認証措置について
(社団法人コンピュータソフトウェア協会)
http://www.csaj.jp/government/other/2008/080627_meti.html

CCC対象品目がITセキュリティ製品に拡大されたわけです。
この時点では「強制認証」の具体的内容が不明瞭だったため
あまり話題にならなかったのですが、記事を読む限りでは
この「強制認証」の一環としてソースコードの開示を要求すると
いうことでしょう。

対象が「ＩＴセキュリティー製品」であることから、
制度の目的は恐らく、中国政府が全ての暗号化された情報に
アクセスできるようにすること。
完全な情報統制が目的かと思います。

ソースコードを手に入れるということは、ソレを容易に
改造することができる、ということとイコールです。
ソースコードを改造してパチモノ作って売る程度ならば
「ああやっぱり」でいいのですが（実際は大問題だけど）
本当に怖いのは、機器にトラップ（つまり盗聴ソフト）を
仕掛けられること。

★★★

例えばどこにでもあるような普通のレーザプリンタ。
これのファーム（制御ソフト）にトラップを仕込んでおけば、
印刷したドキュメントをすべて盗聴することができます。
極秘書類をいくら厳重に管理しようとも、廃棄時にどれだけ
シュレッダーにかけようとも、書類を印刷したプリンタに
データをトラップされていれば全く意味がありません。
また、プリンタはたいてい社内LANにそのまま接続されています。
WANと社内LANの間はfirewallなどで厳重に守られていますが
いったん社内のネットワークに侵入されてしまえば、内部は
ほとんど無防備。
気がつかないうちにワームをばらまかれて極秘情報をすべて
持って行かれた、なんてことも普通に起こり得ます。
さらに怖いのは、プリンタは定期的に外部のサービスマンが
分解点検する、という点。
分解点検のタイミングで、プリンタの内蔵HDDに蓄えられた
盗聴データを定期的に吸い出していけば「社外に大量データを
送信してネットワーク管理者に漏洩を感づかれる」リスクを
簡単に回避できます。

今回の規制対象にプリンタは含まれていません（多分）が、
その代わり大半のネットワーク機器（ルータとかLANカードとか）や
ICカード、ネットワークセキュリティシステム、果てはOSまでが
強制ソースコード開示の対象となっています。

強制品目リスト(社団法人コンピュータソフトウェア協会)
http://www.csaj.jp/government/other/2008/080627_list.pdf

ルータやfirewallにトラップやバックドア仕掛けられたら
プリンタなんて比べものにならないほどタチが悪いです。
さらにOSにまで仕込まれた日には・・・


時代に完全に逆行した制度を突然導入する中国政府。
制度そのもの以上に、こんな制度を導入しようという発想に至る
中国という国とのつきあい方を考え直す時期なのかと思います。