Appleは本日、iOS 12.4（iOS 12.4.0）のコード署名（SHSH発行）を停止しました。このiOS 12.4では、それまでリリースされていたiOS 12.3では塞がれていたはずの致命的な脆弱性へのパッチが誤って適用されておらず、ハッカー達が悪用したり、数年ぶりに最新バージョン対応の脱獄（ジェイルブレイク、Jailbreak）ツールが出るなど物議を醸しました。
現行最新バージョンのiOS 12.4.1ではその脆弱性は再度塞がれているため、Appleは早期にiOS 12.4のコード署名発行を停止するとみられていましたが、iOS 12.4.1が8月27日にリリースされてから16日、おおよそ半月の時間を経てようやく今日発行が停止された形になります。この半月という旧バージョンのコード署名の停止保留は、平均的な時間といえます。Appleが慌ててiOS 12.4の署名発行を止めなかったのは、冷静であることを暗に示しているのでしょうか。
iOS 12.4で復活してしまった脆弱性は、今年初めにGoogleのProject Zeroのセキュリティ研究者によって発見され、AppleはiOS 12.3でその脆弱性にパッチを当てました。しかしiOS 12.4を調査したセキュリティ研究者でハッカーでもある@pwn2ownd氏が、その脆弱性が復活していることを発見し、自身がこれまで公開してきた脱獄ツール「unc0ver」をアップデートし、最新のiOS 12.4に適用できるよう再構築し、公開したのでした。
「誰かがすでにこのバグを悪用している可能性が非常に高い」と当時の研究者は声明で述べ、悪意のある攻撃者はバグを使用して標的とするマルウェアを作成する可能性があると示唆していました。実際、ウェブサイトにそのバグを悪用したプログラムをアップロードし、そこにiPhoneからアクセスさせるだけで攻撃者が端末内部まで入り込めるという状態だったようで、中国政府がウイグル族の監視のためにそのバグを利用してiPhoneの内部情報を抜き取り検閲や監視をしていたという情報もあります。それに対してAppleは反論の声明を出していますが、どちらかというとチョンボをしてしまったAppleは分が悪いのは外から見ても明らかです。
ただ、今回脆弱なiOSのコード署名を終了することにより、Appleは脱獄者（ジェイルブレイカー）と悪玉ハッカーに対する両方のドアを閉めたことになります。今後、ユーザはiOS 12.4に復元（アップグレード、ダウングレード、バージョン維持含む）ができなくなり、現行最新バージョン（現在はiOS 12.4.1）にしか復元できなくなるからです。
またセキュリティ問題の修正に加えて、ユーザーが古いiOSをダウンロードして適用できないようにすることで、Appleはより多くのiOSデバイスを最新の、機能豊富なソフトウェアに維持することができます。これが、iOSのAndroidと大きく異なるところです。
なお、Appleは次世代iOS 13を9月19日にリリースし、10月にはiOS 13.1をリリースします。そこでは致命的な脆弱性が復活するような「チョンボ」は避けてもらいたいものです。
記事は以上です。
（記事情報元：Apple Insider）