AndroidのVPNバイパス脆弱性で見直しを迫られるモバイルVPN対策：修正パッチの適用は数カ月後!?

Androidの脆弱性を突いて、VPNの通信内容を攻撃者のサーバに平文で送信してしまうエクスプロイトが発見された。IT管理者が取るべき対策とは？

[Tom Brewster，Computer Weekly]

　米CIAおよびNSAの元職員エドワード・スノーデン氏の内部告発によって、英国政府通信本部（GCHQ）およびその諜報活動のパートナーが長い時間と労力をかけて多数のVPN製品を無効化していたことが明らかになった。NSAが使用したXKeyscoreというツールにはVPNに侵入する機能があると伝えられているが、その詳細はほとんど公開されていない。

Computer Weekly日本語版　5月21日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版　5月21日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

• Computer Weekly日本語版　5月21日号：クラウド業界に挑戦状を叩き付けたGoogle

なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。

　モバイルVPNの脆弱性が注目されるようになったのは、ここ数カ月のことだ。Android端末を使った場合、暗号化されたVPN回線で送信した情報を平文で表示するエクスプロイトの存在が発覚した。このエクスプロイトは、狙った回線の通信内容を全て、攻撃者が指定したサーバで傍受する。

　イスラエルのベングリオン大学サイバーセキュリティラボの研究者が、SMTPの脆弱性を利用するアプリを作成し、上記の現象を再現した。このアプリは、SMTPで送信されたメールをすくい取り、メールが暗号化される前にデータを攻撃者のマシンに転送するというものだった。

　朗報が1つある。米Googleは既に対策用のパッチを端末メーカーに配布している。このパッチは、Android 4.3（Jelly Bean）およびAndroid 4.4（KitKat）に適用できる。イスラエルの研究者たちが調査したのも、この2つのバージョンだ。

　一方、悪い知らせもある。

続きはComputer Weekly日本語版　5月21日号にて

本記事は抄訳版です。全文は、以下でダウンロード（無料）できます。

• Computer Weekly日本語版　5月21日号：クラウド業界に挑戦状を叩き付けたGoogle

■Computer Weekly日本語版 最近のバックナンバー

Computer Weekly日本語版　5月7日号：PC産業にイノベーションは残っているか？

Computer Weekly日本語版　4月16日号：クラウドの活用を阻むIT部門

Computer Weekly日本語版　4月2日号：中古ソフトウェア販売は著作権侵害か？