同期するデータのデバイス間での転送はエンドツーエンドの暗号化によって保護されている。Appleは、この暗号化にOff-the-Record（OTR）プロトコルを利用している。OTRでは、AES 128-bit対称キーアルゴリズムとDiffie-Hellmanキー鍵交換、そしてSHA-1を組み合わせてハッシュ化している。デバイスに固有のキーを追加的なセキュリティレイヤーとして利用するため、ユーザーの機密データにはそれなりのセキュリティが確保される。

　しかし、2017年3月に、Longterm Securityのセキュリティ研究者が、OTRの実装に欠陥を発見した。簡単に言うと、暗号化それ自体を破るのが無理な場合、転送データは欠陥のある別の方法を経由してやりとりせざるを得なくなる。この脆弱性がCVE-2017-2448と記録されており、Black Hat USA 2017のプレゼンテーションで取り上げられた。

エクスプロイト攻撃

　iCloud キーチェーンのセキュリティの中核は、署名同期サークルである。このサークルは、相互接続された信頼できるデバイスから構成され、それら全てのデバイスが同一のiCloudアカウントを利用する。

　これらサークル内の信頼できるデバイス間での通信には、各デバイスにひもづけられた同期IDキーと、ユーザーのiCloudパスワードから生成されるキーを組み合わせてセキュリティを確保する。新しいデバイスをこのサークルに追加する場合、既存のデバイスが署名確認プロセスを通して新しいデバイスを承認する必要がある。

　研究者は、個別に生成されたパケットを介して署名確認エラーに対しエクスプロイト攻撃する方法を発見した。この方法はOTRセッションを確立してしまい、対象ユーザーがiCloudパスワードを所有している場合、パスワードやクレジットカード情報などの同期されているユーザー機密情報にアクセスできるようになる。

秘密情報の漏えい防止

　2017年3月27日に、AppleはiOS 10.3のアップデートをリリースした。このアップデートは「確認プロセスの改善」によって、上記のCVE-2017-2448に対処した。つまり、iCloud キーチェーンの脆弱性が修復されたということだ。しかし、類似の攻撃ベクターが依然として存在する。

　モビリティーや、クラウドストレージの利用や管理は、個人と企業をつなぐ上で重要な位置を占めるようになってきた。そこで、これらの技術に対する全体的なセキュリティポリシーが必要となり、このセキュリティポリシーを用いると、今後、脆弱性が新たに生まれることがあっても類似の攻撃を防ぐことが可能になる。

　従業員のモバイルデバイス上に会社のデータの保存を許可している全ての企業は、 モバイルデバイス管理（MDM）を実施することをお勧めする。デバイスにサインアップし、イントラネットや電子メールなどのアプリケーションを介して企業のデータを利用するためには、従業員がMDMエージェントを介してセキュリティ管理を組織に任せる必要があるようにするとよい。

　つまり、例えば、会社のいかなるデータをデバイスに移動することを許可する場合でも、その前にセキュリティ管理担当者がパスワードポリシーの適用や暗号化を必ず実施するということだ。また、これは、パッチのレベルが監視および管理されることも意味する。iCloud キーチェーンのOTR脆弱性が修復されたiOS 10.3のアップデートの場合、このパッチをデバイスの技術要件として設定できるが、場合によっては従業員が自分のデバイスをできる限り早くアップデートする必要があることを単に通知されるだけの可能性もある。

　「VMware AirWatch」または「Cisco Meraki」などのMDM機能もしばしば、組み込みもしくはサードパーティー製のホストベースのマルウェア保護や侵入防止システム（IPS）を提供する。IPSエージェントはデバイスに対する怪しい挙動または中間者攻撃を検知し、報告できる。適切に監視されていれば、ゼロデイ段階の初期からこのサービスが脆弱性やエクスプロイトを検出し、防止できるだろう。

　 2要素認証をiCloudで利用していれば、CVE-2017-2448のエクスプロイト攻撃が成功しても、その影響を大幅に抑えられただろう。この攻撃者はOTRセッションやiCloudパスワードにアクセスできていたのかもしれないが、認証要件の最後の部分、つまり、アウトオブバンド方式でアカウント所有者に送られる一時認証コードにアクセスできなければ意味がない。

　AppleのiCloudやiOSに重要度の高い脆弱性があることは比較的まれである。とはいえ、存在することもある。最新のモビリティー技術を利用するリスクをよく理解した上で、企業や個人のデータに対する多くのリスクを防ぐために強固なセキュリティ管理を用意することをお勧めする。

　データが個人の写真やクレジットカードの情報から構成されていても、会社のパスワードの集まりから構成されていても、根本的なセキュリティ原則は同じだ。パッチ管理や暗号化、パスワードポリシー、2要素認証などのセキュリティ管理を用いれば、ほとんどのデータの安全を確保できる。また、このようなセキュリティ管理を常に実施することが重要だ。