Appleのサンドボックスに脆弱性

iPhoneやMacからパスワードがダダ漏れ？　「iOS」「OS X」に危険な脆弱性発覚

米Appleの「OS X」と「iOS」に新たな脆弱性が発覚した。攻撃者がこれを悪用すれば、マルウェアを介してパスワードやデータを盗むことができるという。どのような脆弱性なのか。

公開 2015年07月03日 08時05分

著者

Sharon Shea

[TechTarget]

印刷する

iOSやOS Xに発覚した脆弱性はどれほど危険なのか（出典： Appleの製品紹介画像）《クリックで拡大》

　以前から米GoogleのモバイルOS「Android」に存在した「サンドボックス」（システムに影響を与えずアプリケーションを動作させる仕組み）の欠陥。それが最近、米AppleのクライアントOS「OS X」とモバイルOS「iOS」でも発見された。米Indiana University（インディアナ大学）、中国の北京大学および米Georgia Institute of Technology（ジョージア工科大学）の6人の研究者によると、この結果は「驚き」であると同時に「恐ろしいことだ」という。

　OS XとiOSの両OSは、アプリのサンドボックス化とアプリ間の連係をサポートするために独自の方法を用いている。研究者チームは、この方法がセキュアなユーザー環境を実現しているかどうかについても検証したという。

併せて読みたいお薦め記事

iPhoneに忍び寄る脅威

“Mac安全神話”今は昔？

プライバシー保護に努力するApple

研究者チームが見つけた「iOS」「OS X」の脆弱性

　2015年5月に米Cornell University（コーネル大学）図書館に提出された、「Unauthorized Cross-App Resource Access on Mac OS X and iOS」（OS XおよびiOS上での不正なクロスアプリリソースアクセス）と題された報告書がある。インディアナ大学のリューイ・シン氏をリーダーとする研究グループはその中で、主要なアプリ間（クロスアプリ）でのリソース共有メカニズムと通信チャネルに、幾つかの深刻な脆弱性が見つかったと述べる。またAppleのサンドボックス構造に潜む信頼性の欠如が、パスワードの盗難、コンテナへの侵入、アプリ間通信の傍受、URLスキームの乗っ取りといった問題の原因だと指摘する。

　同年6月17日（米国時間）にこの問題を最初に報じた英メディアのThe Registerに対してシン氏は、「われわれは、OS Xの『Keychain Services』（各種のアプリ用にパスワードなどの認証情報を保存するために使用されるAPI）と、サンドボックスのコンテナへの侵入に成功した。OS XとiOSのアプリ間通信メカニズムにも新たな脆弱性が見つかった。これを悪用すれば、『Evernote』や『Facebook』などの有名アプリから機密データを盗むことができる」と語った。

　研究グループが「クロスアプリリソースアクセス（XARA）攻撃」と名付けた攻撃では、Appleのオンラインファイル同期サービス「iCloud」、Googleのオンラインメールサービス「Gmail」、Webブラウザ「Google Chrome」からパスワードを盗み出したり、Evernoteやパスワード管理アプリ「1Password」、コミュニケーションアプリ「WeChat」などに保存されているデータにアクセスできたりする可能性がある。

　同グループが作成したコンセプト実証用アプリは、OSレベルの防御を回避しただけでなく、Appleのアプリストア「App Store」の審査プロセスを通過して一般ユーザーに公開できた。この実証では、人気の高い1612本のOS X用アプリと200本のiOS用アプリの88.6％以上がXARAから「丸見え」の状態だったという。

　「これらの問題の根本的な原因は、アプリ間およびアプリとOSとの間の認証が欠如していることに起因する」と報告書は指摘する。

　シン氏は投稿した動画の中で、悪質なアプリを利用してパスワードを盗み出したり、コンテナやバンドルID（アプリのID）の不備を悪用した攻撃をしたり、プロセス間通信の傍受、URLスキームの乗っ取りなどが可能であることを実証している。

　1Passwordの開発元であるカナダAgileBitsのジェフ・ゴールドバーグ氏は、2015年6月17日付のブログ記事で今回の脆弱性について論じるとともに、同社が2014年11月以降、これにどう対処したかを説明している。

　「われわれもシン氏のチームも、この問題を確実に解決する方法を考え出せなかった」とゴールドバーグ氏は記す。ただし、このブログには「1Passwordを常に動作させておく」「信頼できないアプリはインストールしない」など、攻撃を困難にするための方法が示されている。