“偽Pokemon GO”も多数発見
「Pokemon GOでGoogleアカウント情報が丸見え」問題とは何だったのか（2/2 ページ）
悪意のない手違いが原因か
過剰な権限の付与は、NianticとGoogleの悪意のない手違いによるもので、パーミッションが悪用されることもなかったようだとルービンスタイン氏は推測する。「フルアカウントアクセスの権限が付与されても、このトークンを当初指摘されたようなやり方で使うことは難しい。なぜならそうした利用の仕方はプログラムされていないからだ」（同氏）。ただしそれは、トークンの操作に関する隠しAPIが、どこか別の場所に存在していない場合に限る。
NianticはかつてGoogleの傘下にあったが、2015年にスピンオフして独立企業になった。Nianticが、フルアカウントアクセスの権限を取得するアプリケーションで通常表示されるパーミッション通知をどうかわしたのかは、依然として不明だ。米サイバーセキュリティ企業Trail of Bitsのダン・ギド最高経営責任者（CEO）はブログの中で、同僚のセキュリティ研究者のジェイ・リトル氏と共に、Googleの開発者サイトでPokemon GOによるパーミッション要求を再現しようとしたところ、正確には再現できなかったと伝えている。
「Googleが2012年から段階的に廃止して2015年に打ち切った『OAuth 1.0』ベースAPIの一部が原因だったのかもしれない」と、ギド氏は指摘する。OAuthは、Googleが自社サービスのAPIに利用している認証仕様だ。「もしそうであれば、Pokemon GOがなぜOAuth 1.0ベースのAPIを利用できたのかが分からない。われわれがチェックしたところ、『OAuth 2.0』ベースのAPIへ移行したアカウントは、もう古いOAuth 1.0ベースのAPIにはアクセスできなかった」（ギド氏）
今のところ、Pokemon GOのパーミッション問題は解決されたように見える。「Googleがトークン置換攻撃の可能性を排除するため、さかのぼってトークンの設定を変更しているとすれば、Pokemon GOはあと数日で、あるいはもう既に、安全にプレイできるはずだ。ぜひゲームを楽しんでほしい」（ルービンスタイン氏）
Pokemon GOの他のセキュリティ問題
iOS版Pokemon GOのパーミッション問題は解決したが、NianticとGoogleが対処すべき他のセキュリティ問題も既に浮上している。サイバーセキュリティ企業のProofpointは、リモートアクセスツール「DroidJack」に感染したAndroid版Pokemon GOを発見した。
この悪質なAPK（Androidアプリの配布パッケージ）が出回っている様子はまだ観測されていないと、Proofpointは説明する。だがこのAPKが、悪質ファイルをまとめたリポジトリサービスにアップロードされたのは、ニュージーランドとオーストラリアで同ゲームが正式リリースされてから72時間もたたない協定世界時2016年7月7日午前9時19分27秒だったという。
Proofpointは、Pokemon GOの公式リリースが世界同時ではなかったことから、自分の地域でリリースされる前にプレイしたいと思ったゲーマーの多くは、サードパーティーからAPKをダウンロードしたとみている。
Microsoftプログラムマネジャーでエンジニアのデニス・ディレマースキ氏は、ミニブログの「Twitter」で、Pokemon GOでは証明書ピンニング（正規の電子証明書の情報をあらかじめ記録し、それ以外の証明書によるHTTPS通信を禁止すること）をしていないと指摘した。つまりPokemon GOを公衆無線LANで使えば、通信の途中で割り込んで情報を盗み見る「中間者攻撃」を仕掛けられる可能性がある。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[キヤノンマーケティングジャパン株式会社] マンガで学ぶXDR／MDRのメリット、中小企業のセキュリティ強化になぜ有効か？ -
市場調査・トレンド
[キヤノンマーケティングジャパン株式会社] 有識者が語る、中堅中小企業に求められる最新のサイバーセキュリティ対策とは -
製品資料
[キヤノンマーケティングジャパン株式会社] マンガで解説：情シスの負担を減らす「MDRサービスのインシデント対応」の中身 -
市場調査・トレンド
[SANS Training Japan 合同会社] “知識”では守れない AI時代に問われる実戦力の身に付け方 -
製品資料
[株式会社イトーキ] 会議室不足を解決する「AI×データ」活用術
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
2
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
3
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
4
年収が増えても幸せになれない 給与増でエンジニアが直面する「幸福度の壁」
-
5
SAPやOracleが警戒する「ERPの土管化」 汎用AIとの主導権争いが激化
-
6
Microsoft 365移行で露呈した標準機能の限界 地方銀行は上長承認や「脱PPAP」をどう実現？
-
7
“クラウド安全神話”の崩壊 AWS、Azure障害で情シスが直面した「SLAの死角」
-
8
Microsoft 365導入後も稟議は「Excelをメールで回覧」 承認が止まる理由
-
9
米国防総省で300万人分の個人情報が流出 その「意外な原因」と教訓
-
10
突然“給与が払えない”を回避する「給与システムのDR計画」には何が必要？
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
3
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
4
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
5
「IT史に名を残すシステム障害」8選
-
6
SASE選定は「見極め力」で大きな差――本当に必要な製品を選ぶための6つの視点
-
7
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
8
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
9
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
10
「標的型攻撃メール」事例・サンプル集
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー