攻撃者のこれまでの手口とは
iPhoneのパスワード自動入力「iCloud キーチェーン」が安全とは言い切れない理由
iPhoneやMacのパスワード管理「iCloud キーチェーン」の過去のバージョンには脆弱性が存在した。攻撃者はどのようにデータを盗み取ることが可能だったのか。
AppleのiCloud キーチェーンについてのページ
Appleは、macOS 8.6においてキーチェーンパスワード管理システムを導入した。その後にリリースされた各macOSにも組み込まれているが、キーチェーンは、パスワードやネットワーク共有、メモ、証明書、クレジットカードの詳細な内容、その他さまざまな機密データを集約的に保管する機能を提供する。
使い勝手の良いアプリケーションの需要に加えて、クラウドアプリケーションやパスワードマネジャーの人気が高まる中、Appleは、従来のキーチェーンシステムから一歩踏み込んでiCloud キーチェーンを導入した。このクラウドサービスによってmacOSとiOS間で全てのキーチェーンデータを常に同期できる。ユーザー目線では、iCloud キーチェーンは素晴らしいサービスだが、機密データの移動および保管と関連したセキュリティリスクがあるのは言うまでもない。
公開された脆弱（ぜいじゃく）性
同期するデータのデバイス間での転送はエンドツーエンドの暗号化によって保護されている。Appleは、この暗号化にOff-the-Record（OTR）プロトコルを利用している。OTRでは、AES 128-bit対称キーアルゴリズムとDiffie-Hellmanキー鍵交換、そしてSHA-1を組み合わせてハッシュ化している。デバイスに固有のキーを追加的なセキュリティレイヤーとして利用するため、ユーザーの機密データにはそれなりのセキュリティが確保される。
しかし、2017年3月に、Longterm Securityのセキュリティ研究者が、OTRの実装に欠陥を発見した。簡単に言うと、暗号化それ自体を破るのが無理な場合、転送データは欠陥のある別の方法を経由してやりとりせざるを得なくなる。この脆弱性がCVE-2017-2448と記録されており、Black Hat USA 2017のプレゼンテーションで取り上げられた。
エクスプロイト攻撃
iCloud キーチェーンのセキュリティの中核は、署名同期サークルである。このサークルは、相互接続された信頼できるデバイスから構成され、それら全てのデバイスが同一のiCloudアカウントを利用する。
これらサークル内の信頼できるデバイス間での通信には、各デバイスにひもづけられた同期IDキーと、ユーザーのiCloudパスワードから生成されるキーを組み合わせてセキュリティを確保する。新しいデバイスをこのサークルに追加する場合、既存のデバイスが署名確認プロセスを通して新しいデバイスを承認する必要がある。
研究者は、個別に生成されたパケットを介して署名確認エラーに対しエクスプロイト攻撃する方法を発見した。この方法はOTRセッションを確立してしまい、対象ユーザーがiCloudパスワードを所有している場合、パスワードやクレジットカード情報などの同期されているユーザー機密情報にアクセスできるようになる。
秘密情報の漏えい防止
2017年3月27日に、AppleはiOS 10.3のアップデートをリリースした。このアップデートは「確認プロセスの改善」によって、上記のCVE-2017-2448に対処した。つまり、iCloud キーチェーンの脆弱性が修復されたということだ。しかし、類似の攻撃ベクターが依然として存在する。
モビリティーや、クラウドストレージの利用や管理は、個人と企業をつなぐ上で重要な位置を占めるようになってきた。そこで、これらの技術に対する全体的なセキュリティポリシーが必要となり、このセキュリティポリシーを用いると、今後、脆弱性が新たに生まれることがあっても類似の攻撃を防ぐことが可能になる。
従業員のモバイルデバイス上に会社のデータの保存を許可している全ての企業は、 モバイルデバイス管理（MDM）を実施することをお勧めする。デバイスにサインアップし、イントラネットや電子メールなどのアプリケーションを介して企業のデータを利用するためには、従業員がMDMエージェントを介してセキュリティ管理を組織に任せる必要があるようにするとよい。
つまり、例えば、会社のいかなるデータをデバイスに移動することを許可する場合でも、その前にセキュリティ管理担当者がパスワードポリシーの適用や暗号化を必ず実施するということだ。また、これは、パッチのレベルが監視および管理されることも意味する。iCloud キーチェーンのOTR脆弱性が修復されたiOS 10.3のアップデートの場合、このパッチをデバイスの技術要件として設定できるが、場合によっては従業員が自分のデバイスをできる限り早くアップデートする必要があることを単に通知されるだけの可能性もある。
「VMware AirWatch」または「Cisco Meraki」などのMDM機能もしばしば、組み込みもしくはサードパーティー製のホストベースのマルウェア保護や侵入防止システム（IPS）を提供する。IPSエージェントはデバイスに対する怪しい挙動または中間者攻撃を検知し、報告できる。適切に監視されていれば、ゼロデイ段階の初期からこのサービスが脆弱性やエクスプロイトを検出し、防止できるだろう。
2要素認証をiCloudで利用していれば、CVE-2017-2448のエクスプロイト攻撃が成功しても、その影響を大幅に抑えられただろう。この攻撃者はOTRセッションやiCloudパスワードにアクセスできていたのかもしれないが、認証要件の最後の部分、つまり、アウトオブバンド方式でアカウント所有者に送られる一時認証コードにアクセスできなければ意味がない。
AppleのiCloudやiOSに重要度の高い脆弱性があることは比較的まれである。とはいえ、存在することもある。最新のモビリティー技術を利用するリスクをよく理解した上で、企業や個人のデータに対する多くのリスクを防ぐために強固なセキュリティ管理を用意することをお勧めする。
データが個人の写真やクレジットカードの情報から構成されていても、会社のパスワードの集まりから構成されていても、根本的なセキュリティ原則は同じだ。パッチ管理や暗号化、パスワードポリシー、2要素認証などのセキュリティ管理を用いれば、ほとんどのデータの安全を確保できる。また、このようなセキュリティ管理を常に実施することが重要だ。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
「何も変更していないのにWebサイトがクラッシュ」 そのときの原因は？
-
6
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
7
個人の業務効率化で終わる企業の盲点 AIで成果を出す「上位6％」の手法
-
8
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
9
「何から始めればいい？」 情報漏えい対策で悲鳴を上げる中小企業のリアル
-
10
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
5
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
6
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
“あのファイル転送”で暗躍するノーウェアランサム
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー