セキュリティ

「アクティベーションロック（別名Apple IDロック、iPhoneを探すロック）」はiOS7から導入された、Appleによる画期的なセキュリティ保護システムだ。iPhoneなどiOSデバイスの持ち主はあらかじめ本体にApple IDを設定してiPhoneを探すをオンにしておけば、もしiPhoneを落としたり盗まれたりした場合、他のデバイスから自分のApple IDにログインさえすれば、遠隔でそのiPhoneをロックし、連絡先などのメッセージを送ることができる他、基本的にはアクティベーションロックは他人には解除できないためリセールバリューが下がるので持ち主に戻りやすくなるというものだ。しかしこの「アクティベーションロック」の仕組みを逆に悪用して儲けようという悪どい犯罪集団が中国には存在することが、中国でもニュースになっている。iPhoneを持っていると、何もしていなくても遠隔でアクティベーションロックがかかってしまい、そしてその解除をするには金を払えと請求してくるという悪質な連中がいるのだ。まず、以下は中国のサイトtgbusの記事からの翻訳をご覧いただきたい。ただ、この記事では「ユーザのApple IDの管理の問題」としているが、私独自の調査によると実はそれだけではなかったりする。まずはどんなことが起きたのか、そして専門家の意見はどんなものなのか、ご覧いただこう。私独自の調査の結果については、翻訳の下で。

昨年12月、セキュリティ研究者のTrammel Hudsonがドイツのハンブルクで行われたハッキング大会”Chaos Computer Congress”において、Apple MacのThunderboltのセキュリティホールを利用したハッキングについてプレゼンテーションをした。”Thunderstrike”はMacにとっては最大の脅威のセキュリティホールMacのThunderboltに存在するセキュリティホール”Thunderstrike”を利用するツール”Thunderstrike Rootkit”を使用してハッキングすると、Intel MacのEFIの全てを書き換えられるようになってしまい、OS Xを再インストールしてもハッキングされた状態は続き、コンピュータのハードウェアをコントロール下に置かれてしまうという（Appleちゃんねるの解説が詳しい）。なお、Hudsonによればこのセキュリティホールによる侵入は非常に検出されにくいという。Apple、OS X Yosemite 10.10.2 […]

中国の新聞”新京報”の報道（via iPhone中文網）によると、1月22日、中国国家インターネット情報事務局主任の魯煒氏が去年12月初めに米国に視察に行った際に、AppleのCEOティム・クック（Tim Cook）と会談したという。会談の中で、クックは中国がAppleの製品に対してネットワークセキュリティの評価をすることに協力すると述べたという。この会談に参加した担当者によれば、会談の重点はApple製品の中国地区での安全保障についてだった。魯煒主任は会談で、「中国はAppleによって最大の市場の1つとなっており、中国もAppleなどのテクノロジー企業のトップのために市場を開放することを望んでいますが、その前提としてiPhone・iPadやMac等の製品が必ずユーザの情報セキュリティやプライバシーを守ることを保証し、同時に国家安全保障の維持も確保している必要があります」と述べた。クックは魯煒氏との会談の中で「以前、我々が第三者にバックドアを使ってデータを提供しているという噂がありましたが、我々 […]

先日、「あなたのパスワードは大丈夫!?iCloudでパスワードを大量に試して乗っ取るハッキングツール”iDICT”登場 」として当ブログで紹介した”iDICT”。このiDICTではAppleのAccount Lockout制限（パスワード入力を複数失敗するとアカウントをロックするセキュリティ対策）と、二段階認証を回避して、パスワードを何回〜何百回でも試せるようにするツールだった。このツールでは更にテキストファイル辞書に世界的にユーザが設定しやすいと思われるパスワード500個が羅列されており、それらを試すことで、もしユーザがApple IDに簡単なパスワードを設定していた場合は容易に破られてしまうというものだった。そしてredditやTwitter上では、実際にこのツールを使って間違いなくハッキングができたという成功報告も上がっていた。しかしようやくAppleもこのセキュリティホールに対策を施した。iDICTを開発したハッカーたちもAppleが修正を行ったことを認めた。ただ、Apple製品が普及す […]

※2015/1/6現在、このセキュリティホールはAppleによって修正されている。詳細はこの記事参照。iCloudのセキュリティ問題で、ハリウッドセレブや歌手などのプライベートフォトが流出したことは記憶に新しいが、その件でAppleは更にiCloudのセキュリティを強化した。しかしセキュリティというものはイタチごっこだ。Appleは前回のセキュリティ問題で、2重認証やパスワードの入力回数の制限をつけるなどの対策をしたが、本日GitHubのソースコードにアップされたとあるツールでは、Apple IDに対してパスワードの試行回数制限をなくし物量でパスワードを類推しログインするというやり方ができてしまう。この恐るべき攻撃ツールの名前はiDICT（GitHubのここからダウンロード可能）。その攻撃の原理は非常に簡単で、Brute-Force（ブルート・フォース）と呼ばれる方式で、500個の典型的なパスワードが入った辞書（GitHubからダウンロード可能）を使って任意のiCloudユーザに対してパスワード […]

ヨーロッパ最大のハッカー連盟”Chaos Computer Club”によれば、数枚の指紋写真から人の指紋のコピーを作り出すことに成功したという。先日ドイツのハンブルグで行われた第31回Chaos Computer Clubの大会において、ハンドルネーム”Starbug”で本名Jan Krisslerという人物から、彼がどのようにドイツ国防省長のUrsula von der Leyenの指紋をコピーできたかの説明がなされた。多くの人に知られているように、表面がつるつるの物体、例えばガラスやスマートフォン等にある人が触れると、そこにはその人の指紋のコピーが残されることになる。Krisslerが今回プレゼンテーションしてみせたのは、その人が直接触れた現物を手に入れることができなくても、指紋情報は同じように取得できてしまうというからくりだ。Krisslerによれば、”カメラで撮影した普通の写真”さえあれば、ある人の指紋を読み取ることができるという。指紋は個人識別に使われるため、彼は「将来、政治家などの […]

新華社の情報によると、北朝鮮のインターネットと、モバイル3Gネットワークが昨日27日の夜に同時にダウンした。ダウンした時刻は平壌時間27日19:30分頃。そして平壌時間21:30になっても、ネットワークはダウンしたままだったという。新華社の記者が固定電話を使って北朝鮮に駐在する中国の投資機関と連絡をとったところ、確かにそのような状況であることを確認できたという。ネットワークがダウンした昨日27日の朝、北朝鮮国防委員会政策局が声明を発表し、北朝鮮はソニー・ピクチャーズエンタテインメント（SPE）社がネットワーク攻撃を受けたこととは無関係だと発表し、更に数日前に北朝鮮のネットワークが中断したのは米国が北朝鮮に対してネットワーク攻撃を仕掛けたからだと逆に反論していた。上記の声明によれば、米国は何の証拠もなく北朝鮮とハッカー攻撃事件を結びつけていると指摘している。実際、米国が北朝鮮の主要メディアのネットワーク運営を錯乱させようとしているのは事実のようだ。上図の通り、先週末から北朝鮮のインターネットは断続 […]

先日ブログ記事でも書いた、ルータに潜むセキュリティ・ホール”Misfortune Cookie（フォーチュン・クッキー）”。前回の記事でこのセキュリティホール”フォーチュン・クッキー”は多くのメーカのルータに存在し、世界の1200万台のルータが影響を受けると書いたが、その影響を受けるルータを作っているメーカー製品は殆ど日本では売っておらず、日本のユーザには縁のないものだとも書いた。しかしTechworldの報道(via MacDailyNews)によれば、そのルータの中にAppleのAirport Extremeも含まれているというのだ。しかも、このセキュリティホールは10年以上も存在してきたという。こうなると、日本のユーザも完全にこのセキュリティホールに晒されてしまうことになる。現在までに、この”フォーチュン・クッキー”セキュリティホールを利用された攻撃は報告されていないが、この”フォーチュン・クッキー”を発見し警鐘を鳴らしているセキュリティ機構”Check Point”は、既にセキュリティ委 […]

中国の情報サイトcnBetaの情報によると、ドイツの研究者がパケット通信ネットワーク上で広く使われている信号システムSS7（Signaling System Number 7）上にセキュリティホールを発見し、これによってスパイ・悪意のあるハッカー・犯罪者達が潜在的に個人の携帯電話での通話を大規模に盗聴したりSMSのブロックができるようになってしまうという。Sternrauteの創始者Tobias Engelと、Security Research Labsの主席研究員のKarsten Nohlが過去数ヶ月のSS7の研究の際に、それぞれ別々にこのセキュリティの弱点を発見したという。そしてこのSS7の脆弱性の詳細は今月にドイツのハンブルグで行われたハッカー集会によって公開され、1980年に設計されたSS7が安全ではないという最新の証拠となった。このセキュリティホールは世界中どこにいる発信者でも特定できてしまう。例えばアフリカのコンゴのある携帯キャリア会社がアメリカのパケット通信網に不法侵入するために使 […]