「iPhoneは絶対に安全」だという思い込みはなぜ危険なのか：Gartnerに聞く「iOS」の脆弱性がもたらす影響【後編】

2019年2月に複数の脆弱性が見つかった「iOS」。この件をきっかけに、モバイルデバイスのセキュリティに対する人々の意識が変わりつつあるとGartnerは話す。モバイルデバイスを安全に運用するには何が必要なのか。

[John Powers，TechTarget]

　前編「iPhoneの“安全神話”はGoogleが見つけた脆弱性で崩壊か？」は、Googleのセキュリティチーム「Project Zero」が発見した「iOS」の脆弱（ぜいじゃく）性が与える影響について、調査会社Gartnerでシニアディレクターアナリストを務めるパトリック・へベシ氏に聞いた。後編は引き続きヘベシ氏に、今回の脆弱性発見を受けて企業があらためて見直すべきモバイルデバイスのセキュリティ対策を聞く。

併せて読みたいお薦め記事

iOSの脆弱性

• 「iOS」を勝手に操作できる複数の脆弱性をGoogleのセキュリティチームが発見
• iPhoneユーザーが知っておくべき「iOS」の危険な脆弱性と対策

Appleのセキュリティ対策

• Apple独自のシングルサインオン「Sign In with Apple」は本当に安全か？
• 「iOS 13」のデバイス管理機能はどこが変わった？　私物iPhone対策や認証に期待
• iPhoneの脆弱性に1億円、macOSも報告対象に　Appleがバグ報奨金を大幅変更

モバイルデバイスのセキュリティホール

――　今回のようなモバイルセキュリティの脆弱性は、モバイルデバイス全体の安全性を左右するのでしょうか。

ヘベシ氏　その通りだ。だからこそ、それを検知するためのモバイル脅威防御（MTD）製品がある。アプリケーションにも警戒が必要だ。そのアプリケーションは、悪意のある、望ましくないアプリケーションではないかどうか。バックアップやクラウドストレージ、安全ではないAPI（アプリケーションプログラミングインタフェース）へのアクセスに悪用される可能性はないかどうか。データ送受信者の間に割り込んで通信を傍受、改ざんする中間者攻撃を仕掛けようとしていないかどうか――。こうした注意を怠ってはいけない。

　コーヒーショップや空港では、偽の公衆無線LANに接続させられていないかどうかに気を付けなければいけない。DNS（ドメインネームシステム）やARP（アドレス解決プロトコル）など、ドメインとIPアドレスをひも付ける仕組みのキャッシュを汚染（キャッシュポイズニング）して、悪意のある証明書をインストールさせられる場合がある。パッチ未配布のゼロデイ脆弱（ぜいじゃく）性を利用した攻撃だったから検出できなかったのではなく、攻撃者が難読化などの手法を使ってセキュリティ製品を回避したために、デバイスのセキュリティエンジンが攻撃を検知できなかった可能性もある。

「iPhoneは完全に安全」だと言い切れない訳