iPhoneのヘルスデータは本当にプライベートか? ヘルスケアアプリが暗号化する範囲

結論から言うと

はい。ヘルスケアアプリのデータはiPhone上で暗号化されており、設定が正しければiCloud経由でもエンドツーエンドで暗号化されます。ここには2つの保護レイヤーがあり、自動で有効になるのは一方だけです。デバイス側の暗号化は常に有効です。一方、iCloud側のエンドツーエンド暗号化は、多くの人が確認したことのない設定に依存しています。それぞれの仕組みと、保護が及ばない範囲を見ていきます。

ヘルスケアアプリが実際にデータを暗号化する仕組み

デバイス内: 暗号化されるが、ロック中だけ守られる。 アクティブなヘルスケアのレコードは、Appleが「Protected Unless Open」と呼ぶクラスに属しています。保存時は暗号化され、デバイスがロック解除されている間だけ復号されます。iPhoneがロックされてから10分後にはアクセスが完全に遮断され、再度アクセスするにはパスコードまたはFace ID / Touch IDが必要です。唯一の例外はメディカルIDで、緊急時に対応者が確認できるよう、意図的にロック画面から表示されます。デバイス自体にアクセス管理の役割を持たせるこの考え方は、「オンデバイス」が実際に意味することの記事で触れている一般的なパターンと同じです。計算も保存もローカルにとどまるため、そもそも外部に晒される範囲が少なくなります。

iCloud同期: 暗号化とエンドツーエンド暗号化は同じではない。 医療機関からヘルスレコードをダウンロードすると、暗号化された接続を通じて直接iPhoneに届きます。Appleのネットワークを経由することはありません。しかし、iCloudに同期する段階では話が変わります。Appleが鍵を一切持たず、データを読み取れない本当のエンドツーエンド暗号化が有効になるのは、iOS 12以降かつApple Accountで2ファクタ認証をオンにしている場合のみです。どちらか一方でも欠けていると、iCloudに同期されたヘルスデータは転送時・保存時に暗号化されたままですが、エンドツーエンドではなくなります。つまりAppleが理論上アクセスできる状態になります。

プライバシーにとって重要な理由

ヘルスケアアプリが追跡する特に機微な情報の一部は、そもそもデバイスの外に出ません。服薬管理、メンタルヘルスの状態、月経周期の予測、トレンドとハイライトの要約はすべてオンデバイスで生成されるため、Appleのサーバーがその元データを目にすることはありません。HealthKitの権限モデルもデータ種別ごとに分かれており、アプリは各ヘルスデータの種類ごとに個別にアクセスを要求し、ユーザーも個別に許可する必要があります。拒否すれば、そのアプリのクエリは単に空の結果を返します。エラーも出ず、何を記録しているかのヒントも与えません。

一つ留意すべき点があります。これらの説明はApple自身のサポート文書とプライバシー文書に基づくもので、第三者による独立した監査ではありません。これはヘルスケアアプリに限った話ではなく、Appleのジャーナルアプリについても同じ自己申告型のパターンが見られます。設計自体は確かに堅牢です。ただ、2ファクタ認証という、自分で確認しなければならない設定に支えられた、Apple自身による説明を信頼していることに変わりはありません。

よくある質問

Appleはヘルスケアアプリのデータを見ることができますか?

デバイス上で暗号化されているデータや、iCloud経由でエンドツーエンド暗号化されているデータは見えません。Appleはエンドツーエンド暗号化されたヘルスレコードの鍵を保持していないため復号も閲覧もできないとしていますが、これはApple Accountで2ファクタ認証がオンになっていることが前提です。

iCloudを使わなくてもApple Healthのデータは暗号化されますか?

はい。デバイス内のHealthKitデータは「Protected Unless Open」クラスで暗号化され、iPhoneがロックされてから10分後にアクセスできなくなります。パスコードまたはFace ID / Touch IDで再度ロックを解除するまでその状態が続きます。iCloud同期は、その上に重なる別のオプションのレイヤーです。

暗号化とエンドツーエンド暗号化されたヘルスデータの違いは何ですか?

暗号化とは、保存中または転送中のデータが鍵なしでは読み取れない状態を指しますが、その鍵をAppleが保持している可能性があります。エンドツーエンド暗号化とは、あなたのiCloudアカウントでサインインしたデバイスだけが鍵を持ち、Appleは原理的にもアクセスできない状態を指します。ヘルスデータでiCloud経由の本当のエンドツーエンド暗号化を実現するには、iOS 12以降と2ファクタ認証の両方が必要です。

アプリは許可なく私のヘルスデータを見ることができますか?

いいえ。HealthKitでは、アプリがヘルスデータの種類ごとに個別にアクセスを要求し、ユーザーがそれを個別に許可する必要があります。アクセスを拒否すると、アプリのクエリはエラーではなく単に空の結果を返すため、どのデータ種別を記録しているかさえアプリ側にはわかりません。

Privaraならこう解決できます

ヘルスデータのプライバシーを守るには、2ファクタ認証のオン、適切なiOSバージョン、パスコードの設定など、いくつもの設定を正しく行う必要があります。一つでも見落とせば、守られていると思っていた保護は静かに失われます。Privaraは、まず何かを正しく設定することをユーザーに求めません。ローカルでゼロ知識のボールトなので、設定するアカウントもなく、初期設定では何もアップロードされません。だからこそ、忘れてしまう設定そのものが存在しません。

そしてこの記事で扱ったようなデータだけに限りません。同じAES-256で暗号化された一つのボールトが、写真・動画・書類・連絡先を保管します。それぞれ別のプライバシー規約を読む必要のある4つのアプリではなく、一つの場所にまとまっています。外から見れば普通の計算機とまったく同じで、PINを入力したときだけボールトが開きます。設定を切り替えることを覚えておく必要のないプライバシーを求めるなら、App StoreでPrivaraをダウンロードし、1分足らずでボールトを設定してください。