Gartnerに聞く「iOS」の脆弱性がもたらす影響【前編】
iPhoneの“安全神話”はGoogleが見つけた脆弱性で崩壊か？
複数の脆弱性が「iOS」に存在していたことが、Googleのセキュリティチームの調査で判明した。Appleはパッチを配布済みだが、この問題を受けてiOSのセキュリティに注目が集まっている。Gartnerに実情を聞いた。
Appleのスマートフォン「iPhone」からさまざまなデータを盗み取れるようになる「iOS」の重大な脆弱（ぜいじゃく）性が見つかり、iOSのセキュリティに対する信頼を揺るがしている。この脆弱性が悪用されると、ユーザーが特定のWebサイトにアクセスしたとき、更新を適用済みのiPhoneであってもスパイウェアがインストール可能になっていたという。これらの脆弱性は、ゼロデイ脆弱性（ベンダーがパッチをまだ配布していない脆弱性）の発見に取り組んでいるGoogleのセキュリティチーム「Project Zero」が発見した。Appleはこの脆弱性に対するパッチを2019年7月に公開済みだ。
スパイウェアがインストールされたiPhoneからは、パスワードやユーザーの位置情報、チャットアプリケーション「iMessage」のメッセージなどのデータを入手できるようになっていた。これはごく一部の標的を対象にした中国政府による攻撃だとみられ、一般企業に重大な影響を及ぼすものではなかったと考えられる。ただし同じ脆弱性が悪用されれば、広範なiPhoneユーザーが標的になったのではないかという懸念は残る。
Appleは2019年2月にProject Zeroから通達を受けた後、10日以内にこの脆弱性を修正したという。「Project Zeroのブログ記事が攻撃の範囲を誇張したため、ユーザーに必要以上の不安を呼んだ」とAppleは声明文に記した。
モバイルデバイスの管理者は、今回のニュースをどのように受け止めるべきか。モバイルOSのセキュリティはどのような現状なのか。押さえておくべき主要なモバイルセキュリティ製品とポリシーは何か。調査会社Gartnerでシニアディレクターアナリストを務めるパトリック・へベシ氏に話を聞いた。
iOSの“安全神話”は崩れたのか
―― Project Zeroのブログ記事は「特定のWebサイトが2年以上にわたってiOSデバイスへの攻撃を実行していた」と報告しています。このニュースをまずどのように受け止めましたか。
ヘベシ氏 iOSがこの種の攻撃を受けたのは初めてではない。低レベルのものだとマルウェア「Pegasus」を用いた攻撃、OSに直結するものだとカーネルモード（コンピュータの基幹機能を制御できるモード）やWebブラウザ「Safari」を悪用するエクスプロイト（脆弱性を悪用する攻撃プログラム）が存在した。ベンダーの間でバグ報奨金プログラムの導入が広がり始めており、Appleもバグ報奨金プログラムによって、脆弱性の発見に協力を呼び掛けている。
デバイスをサイバー攻撃から保護するモバイル脅威防御（MTD）製品のベンダーは、セキュリティ研究者だけでなく攻撃者組織による攻撃からも情報を得て、脅威インテリジェンスを構築している。モバイルデバイス利用者がますます増加する中、Appleがバグ報奨金プログラムを開始したことは、エクスプロイトの発見を促進するだろう。
―― 今回の件でiOSセキュリティに対する信頼は揺らぎましたか。
ヘベシ氏 Appleはハードウェア、ファームウェア、ソフトウェアのセキュリティを強化し続けてきたが、攻撃者にセキュリティホールを発見されてしまった。どんなOSにもエクスプロイトの可能性があり、iOSも例外ではない。1回の事件でiOSに対する見方が変わるわけではないが、今回の件は「モバイルデバイスにも保護が必要だ」という認識が高まるきっかけになった。
アプリケーションにも注意が必要だ。例えばチャットアプリケーション「WhatsApp」は、データをクラウドサービス「iCloud」に保存する。攻撃者がユーザーのiCloudアカウントにアクセスしたり、入力内容を記録するキーロガーをデバイスに仕込んだりすれば、ユーザーがパスワードを入力したときに情報を盗むことができる。
iOSに限らず他のOSにも言えることだが、アプリケーションやデバイスの機能を利用する際に共通して利用する機能やシステムは、悪用されるポイントの一つだ。キルチェーン（攻撃者の行動パターン）の視点から見てみよう。攻撃者は「どうすればモバイルデバイスに簡単に侵入できるか」と考える。例えば、データ通信に割り込んで内容を傍受する「中間者攻撃」を仕掛け、パスワードを盗み取ってデバイスに侵入できれば、デバイス全体に対して攻撃できるようになるだろう。
攻撃者がパスワードを不正に入手する方法は他にもある。今回の攻撃では、デバイスが共通で利用するレベルの機能を攻撃者が侵害できた。そのためアプリケーション自体は暗号化されていても、アプリケーションがデバイスやiCloudに平文でクレデンシャル（ID、パスワードなどユーザー認証に必要な資格情報）を保存していれば、攻撃者がクレデンシャルを入手できる状態になっていた。
iOSデバイスでパスワード管理製品を使用し、パスワードを暗号化していたとしたらどうか。攻撃者がデバイスに侵入してカーネルモードで操作し、デバイスのロックを解除できれば、その方法を繰り返し悪用できることになる。残念ながら、完璧な安全をもたらす対策はない。
後編は、今回の脆弱性発見を受けて、企業があらためて見直すべきモバイルデバイスのセキュリティ対策を解説する。
Copyright © ITmedia, Inc. All Rights Reserved.
Gartnerに聞く「iOS」の脆弱性がもたらす影響
Googleのセキュリティチーム「Project Zero」が発表した「iOS」の脆弱性はどのようなものか。その概要と、取り組むべきセキュリティポリシー強化についてGartnerのアナリストに話を聞いた。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[Jamf Japan 合同会社] MDMだけでモバイルセキュリティは十分？ 不足する対策を16項目でチェック -
事例
[Wrike Japan 株式会社] 世界的な家電メーカーが実践する「クリエイティブプロセス効率化」の方法とは？ -
事例
[Wrike Japan 株式会社] 世界的テクノロジー企業に学ぶ、プロセス標準化とプロジェクト納品自動化の秘訣 -
事例
[Wrike Japan 株式会社] ソニー・ピクチャーズ テレビジョンに学ぶ、次世代サービスデリバリーのヒント -
事例
[Wrike Japan 株式会社] ソミック石川に学ぶ、ICT浸透後に直面した「工数管理」の課題と解決策
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
2
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
3
「Microsoft一択」で本当にいいのか 知らぬ間にライセンス費用が膨らむ真相
-
4
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
5
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
6
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
7
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
8
AIが本番環境を削除し復旧に13時間 「暴走」ではなかったAWS事例
-
9
IT人材の42％が転職予備軍 辞めさせない組織の4つの共通
-
10
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
ホワイトペーパーランキング PR
-
1
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
2
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
3
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
4
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
5
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
-
9
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
10
少額減価償却資産が40万円未満へ拡大、令和8年度税制改正で押さえるべき変更点
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー