アップル、「App Store」の脆弱性に対処--通信を暗号化

　Appleは同社のアプリケーションストア「App Store」に数年前から存在していたセキュリティ上の問題に対処した。この問題が悪用された場合、パスワードの窃盗や、不要な、あるいは極めて高額なアプリのインストールが行われるおそれがあった。

　この問題は、「iPhone」をはじめとするモバイル機器がApp Storeに接続する際に暗号化を行っていなかったことに起因しており、攻撃者はその接続を乗っ取れるようになっていた。また、接続時に暗号化が行われないため、セキュリティ上の問題が引き起こされるだけでなく、該当機器にインストールされているアプリの一覧がWi-Fi接続経由で流出するという、プライバシーに関する問題も引き起こされていた。

セキュリティ研究者のElie Bursztein氏
Declan McCullagh/CNET

　さらに、極めて高額なアプリ（最高額は999.99ドル）も含め、ユーザーの同意を得ずにアプリを勝手にインストールすることも可能となっていた。Appleはアプリ代金を返金しないため、これによって深刻な結果がもたらされるおそれがある。なお、このような行為に及ぶ場合、攻撃者はユーザーが使用しているプライベートあるいは公共のWi-Fiネットワーク（例えば喫茶店やホテル、空港などのネットワーク）に接続する必要がある。

　この問題はセキュリティ研究者であるElie Bursztein氏によって発見され、2012年7月にAppleに報告されていた。同社は最新のアップデートでこの問題に対応し、「コンテンツは今後、デフォルトでHTTPS接続によってやり取りされる」と述べていた。また同社は、Recurity LabsのBernhard Brehm氏と、BejoiのRahul Iyer氏にも感謝の意を表している。

　米国時間3月8日朝、米CNETはこの脆弱性への対応になぜこれほど時間がかかったのかという点も含め、Appleにいくつかの質問を行っていたものの、同社関係者は回答を控えた。

　Bursztein氏は、カリフォルニア州マウンテンビューに拠点を置くGoogleに勤務しているものの、この問題にかかわる一連の作業は自宅でプライベートな時間を使って行ったと強調しており、App Storeの今回の問題に関する詳細を、パスワードを盗んだり不要なアプリをインストールする様子を録画したビデオとともに、8日に個人のブログに投稿している。

　Bursztein氏は、この問題の詳細を公開することで、HTTPS接続による暗号化の重要性を浮き彫りにしたと述べている。同氏は「モバイルアプリにおけるHTTPS接続の重要性を認識していない企業が数多くある」と語っている。しかし、Web接続やWebViewに依存すれば、攻撃に対する脆弱性を抱えることになると述べる同氏は「具体的な例を提示するのは、この問題に対して開発者の注意を向ける優れた方法だと思われる」と付け加えている。