DeepSeekのアプリケーションでハードコーディングされた暗号化キーを使用すると、ユーザーデータのセキュリティとプライバシーにいくつかの重大なリスクがあります。このプラクティスに関連する潜在的なリスクのいくつかは次のとおりです。
1。データの露出と傍受：ハードコーディングされた暗号化キーは、アプリケーションのソースコードから簡単に抽出でき、不正な関係者が機密データにアクセスして復号化できるようにします。これは、中国のサーバーに送信されるキーストロークパターンを含む広範なユーザーとデバイスのデータを収集するため、DeepSeekにとって特に懸念されます[1] [3] [4]。これらのアルゴリズムは安全でないことが知られているため、3DEのような時代遅れの暗号化アルゴリズムを使用すると、この脆弱性はさらに悪化します[1] [3] [9]。
2。キーローテーションの欠如：ハードコーディングされたキーが露出すると、簡単に変更することはできません。これは、脆弱性が発見されたとしても、アプリケーションが更新されるまでキーが侵害されたままで、時間がかかることを意味します。キーを回転させることができないと、データ侵害の脆弱性のウィンドウが急速に増加します[2] [8]。
3。SQLインジェクションとデータベースのリスク：DeepSeekのアプリケーションは、SQLインジェクションリスクにも直面しているため、攻撃者はデータベースクエリを操作できます。ハードコーディングされた暗号化キーと組み合わせると、攻撃者はデータベースに保存されている機密のユーザーレコードにアクセスして復号化できます[1] [4] [7]。
4.国家安全保障とデータ主権の懸念：中国の国営企業にリンクされているサーバーへのユーザーデータの送信は、データの主権と国家安全保障に関する懸念を提起します。 Tiktokの親会社であるBytedanceの関与は、中国のデータガバナンス慣行のためにこれらの問題をさらに複雑にしています。
5.不安定なデータストレージ：ユーザー名、パスワード、暗号化キーの安全でないストレージを含むDeepSeekの安全でないストレージプラクティスにより、資格盗難のリスクが高まります。これにより、ユーザーアカウントへの不正アクセスが不正にアクセスされ、機密情報がさらに妥協される可能性があります[3] [10]。
6。動作プロファイリング：キーストロークダイナミクスおよびその他のユーザーの動作データのコレクションを使用して、ユーザーの詳細なプロファイルを構築できます。これは、特にそのようなデータが追跡または監視目的でそれを使用する可能性のあるエンティティに送信される場合、プライバシーの懸念を引き起こします[1] [4]。
要約すると、DeepSeekのアプリケーションでハードコーディングされた暗号化キーを使用すると、データ侵害、不正アクセス、プライバシー違反のリスクが大幅に増加します。これらのリスクは、アプリの広範なデータ収集慣行と、潜在的な国家安全保障上の影響を及ぼすエンティティとの関係によって悪化します。
引用：
[1] https://ssojet.com/blog/security-and-privacy-risks-in-deepseeks-android-app-insights-from-experts/
[2] https://www.ubiqsecurity.com/exploring-cwe-321-use-of-hard-coded-cryptographic-key%ef％bf%bc/
[3] https://blog.devolutions.net/2025/02/cybersecurity-newsflash-researchers-find-security-vulnerabilities-indeepseek-for-ios/
[4] https://www.bankinfosecurity.com/security-researchers-warn-new-risks-in-deepseek-ai-app-a-27486
[5] https://breachforce.net/exploiting-Exposed-Encryption-keys
[6] https://oit.utk.edu/news/the-dangers-of-using-deekseek/
[7] https://securityscorecard.com/blog/a-deep-peek-deepseek/
[8] https://docs.guardrails.io/docs/vulnerability-classes/hard-coded-secrets
[9] https://krebsonsecurity.com/2025/02/experts-flag-security-privacy-sys-in-deepseek-aip-app/
[10] https://www.nowsecure.com/blog/2025/02/06/nowsecure-uncovers-multiple-security-and-privacy-flaws-in-deepseek-ios-mobile-app/