APIキーの扱いに関して

Question

趣味でプログラミングをしています。
初の投稿となります。
よろしくお願いします！

質問内容

今回ChatGPT APIを使用し、Unityでアプリを作成しています。
API KEYに関して環境変数を利用することが推奨されており、下記URL参考にして開発を進めています。
https://happy-shibusawake.com/api-key/1406/

Unity Editor上では問題なく動作していますが、タブレット実機でテストをした際、環境変数を利用したコードでは正常に動作しませんでした。

アプリをリリースしたり、実機でテストする際は環境変数を使用せず直接APIキーをコードに記載すればいいのでしょうか？

いままでAPIを利用したことがなかったため、APIの扱いに関してビクビクしています！
ぜひお教えいただきたいです！

開発環境

• Unity
• 言語：C#
• テスト実機：Androidタブレット

Answer 1

仮に、不特定多数の人にそのアプリを公開する予定であって、OpenAIのAPIキーを他人に勝手に利用されたくないならば、アプリ内にAPIキーを記載した状態で配布するべきではありません。

AndroidアプリでアプリにAPIキーをハードコーディングしている場合、悪意のある人が、何らかの手段でアプリの内容を解析し、そのAPIキーを勝手に利用するおそれがあります。

実際にAPIキーのハードコーディングが懸念となっている事例が存在します。
ファクト：
出前サービス「Wolt」のAndroidアプリに外部サービスのAPIキーがハードコードされている問題

Android アプリ「Hulu」に外部サービスの API キーがハードコードされている問題

仮にあなたがOpenAIのAPIキーの利用にあたって有料アカウントで登録している場合、他人の勝手な利用によってデフォルト設定で最大1か月あたり12,000 USD （現時点の為替レートで約170万円前後）まで請求される可能性があります。
課金していなくても、利用割り当てを超えることによってそのAPIキーは使用できなくなります。

対応策としては下記です。
・コードを難読化する(具体的な方法は私は知りません)
・APIキーを暗号化領域に格納する(具体的な方法は私は知りませんし、配布時に漏れる可能性があります)
・別途アプリ専用のアプリケーションサーバーをセットアップし、OpenAIのAPIキーはそのアプリケーションサーバー内でのみ管理するようにし、タブレットにインストールしたアプリからはそのアプリケーションサーバーとだけAPIでやり取りするようにする。タブレットにインストールしたアプリからアプリケーションサーバへのアクセスは、別のアカウント管理の仕組みを利用する。（世の中のchatGPT関連のサービスの多くはこの形だと思われる。Azure OpenAI Seiviceを使うのも同じようなものか）

Comments

[mingos]

非常に的を射た回答であると思います。
この提案の中では、VPSやAWSでサーバを用意してAPIキーはアプリ内に含めないというのが一番安全だと思います。
暗号化しようがアプリ内にAPIキーを格納するのはやめるべきです。

[daitennen]

SaYGO様

ご回答ありがとうございます。APIキーに関する認識が甘かったためとても勉強になりました！
お教えいただいた『別途サーバーを用意する』方法を検討したいと思います！
もしこちらの方法の参考URL等あればお教えいただければと思います！
（調べてみましたがなかなか理解できておりません、、、、）

mingos様もコメントありがとうございます！

ぜひ今後もよろしくお願いします！