テクノロジー

昨日、iOS 12.1.4がリリースされたことは当ブログでもお伝えした通りですが、このiOS 12.1.4の表向きの主な修正点はグループFaceTimeで相手側が応答しなくても相手の音声を盗聴できてしまうという重大なバグとされていました。しかしその後、Googleのトップセキュリティエンジニアが、iOS 12.1.4で修正された2つのゼロデイセキュリティの脅威を明らかにしました。GoogleのProject ZeroセキュリティチームのチームリーダーであるBen Hawkes氏が、Twitter上でその脆弱性の存在と脅威についてTweetしたのです。

TechCrunchが本日発表した新しい調査によると、iPhoneアプリケーションの中には「顧客体験（UX）分析会社」であるGlassboxのようなサービスを使ってタップやスワイプを追跡していることが明らかになっています。Hollister、Air Canada、Expedia、Hotels.comなどのアプリはこのフレームワークを使用しており、場合によっては機密情報を漏らすこともあるということです。

米国でDriveSaversという会社が、iOSデバイス（iPhone/iPad/iPod Touch）のパスコードロックを忘れたか或いはわからない端末のパスコードロックを解除し、場合によっては内部のデータを別メディアに書き出して渡す「パスコードロック解除とデータリカバリー」サービスを始めました。MacRumorsが報じています。

MacRumorsによると、一昨日から昨日くらいにかけて、一部のApple製品ユーザに身に覚えがないにもかかわらずApple IDのロックがかかる現象が発生しているとのことです。Apple自身がかけているのか、或いは第三者がかけているのか、またその原因についてもはっきりしていません。一般的には、Apple IDのロックはユーザ自身が端末を紛失した際などにかけるか、或いは何度もパスワードを入力し間違えた際にかかりますが、今回はどちらも当てはまらないようです。

Forbesの報道によると、AppleがiPhone/iPadなどiOSデバイスのパスコードを強制的に解除するツール、【GrayKey】に対策を行い、使用不能にしました。複数のソースがForbesに、iOS 12以降のバージョンではiPhoneやiPadで使用不能になったと報告しています。

先日、中国の多くのiPhoneユーザのApple IDが他人に不正アクセスされ、Alipay（支付宝）などの決済プラットフォームを使ってApp Storeなどで勝手に他人に主にゲームなどの有料アプリのダウンロードやアプリ内課金などをされるという事件が発生しました。その被害額は数百円から数万円と人によって異なっています。大部分の被害者は、ネット上でのフィッシング詐欺によってApple IDのパスワードを盗まれたことが原因でした。

Facebookがリリースしていた無料VPNアプリ、Onavo Protectですが、案の定というか、、ユーザデータ収集ポリシー違反でiOS App Storeから削除されました。The Wall Street Journalが伝えています。

Appleは声明文で、16歳のオーストラリア・メルボルン出身の少年によるハッキング事件で、個人情報の漏洩はなかったことを明らかにしています。この少年は1年の間に複数回Appleの内部サーバにハッキングで侵入していました。

Googleの有名なセキュリティリサーチャー、Ian Beer氏が、ラスベガスで行われたBlack Hat Conferenceの最後の講演で、自身が発見したiOSセキュリティホールについて、Appleのティム・クック（Tim Cook）CEOは慈善団体に対して250万ドル（約2億7500万円）を支払うべきだと発言していることを、Business Insiderが報じています。Ian Beer氏はTwitterのアカウントでもティム・クックCEOに対して上記と同様の発言をしています。

ラスベガスで行われたハッカーイベント、Black Hat（ブラックハット）において、セキュリティ研究家が、新品のMacを外部からコントロールできてしまう方法を発見しました。発見したセキュリティ研究家は、Macのモバイルデバイスマネジメント（MDM）の中にセキュリティホール（脆弱性）があることをつきとめ、それによってMacに無制限に悪意のあるソフトウェアをインストールすることができます。しかも、ユーザがMacを初めて起動してデスクトップを見る前にそれを行うことさえ可能ということです。当然ながら、新品のMacを攻撃するのはそんなにたやすいことではありません。

Appleのデバイス、iPhone/iPad/iPod TouchなどのiOSデバイスでは、電源を入れたり再起動してロック解除した後、スリープ状態から解除した後、また移動した後などでも、自動的にWi-Fiに接続することがあります。では、iOSはどのようにそのWi-Fi自動接続の優先順位を判断し、管理しているのでしょうか？

Appleは、セキュリティやプライバシー保護のためと称して、次期iOSのiOS 12から、「USB制限モード」を導入することを発表し、実際にiOS 12ベータ版（デベロッパプレビュー版、パブリックベータ版含む）でも、その存在が確認されています。しかし実際その「USB制限モード」を設置する目的は、世界の各諜報機関や警察機関などで用いられている、”GrayKey”や”Cellebrite”等のUSB（Lightning）接続によってiPhone/iPadを強制パスコードロック解除するツールを無効化させるための措置ではないかとみられています（Appleは公式発表であくまでプライバシー保護のためとしてそれを否定していますが、対抗措置であることは明らかです）。

Appleは先月に行われたWWDC18（世界開発者会議2018）において、iOS 12の新機能の一つとして、「セキュリティコード自動入力（SMSコード認証の自動記入）」機能を発表したのを覚えている人も多いでしょう。これは、既にiOS 11以前でもApple IDなどでの2ファクタ認証では実現していた、携帯電話番号認証のためのコードが記されたSMS（ショートメール）が送られると、本来は手で打たなければならなかったコードが自動的に記入されるという仕組みです。確かにこの機能はユーザにとっては手間が省けて便利なのですが、悪意のある攻撃者からすると悪用できてしまうということが、セキュリティ研究家のAndreas Gutmann氏によって指摘されています。

Appleは本日、セキュリティリサーチャーが発見したとされるiOSパスコード保護をクラックするシンプルな方法が、不正確なテストによって得られた結果であることを指摘しています。

macOSには、非常に実用的な機能があります。その1つが、クイックルック（Quick Look）です。Finderでファイルや画像を選んだ後、スペースキーを押すとその中身をプレビューすることができるという機能です。使っている方も多いのではないでしょうか。しかしこの実用的な機能に最近セキュリティホールが見つかりました。このクイックルック機能の機構そのものに問題があり、ユーザの暗号化されたデータが容易に漏洩する危険があるというのです。