FC2ブログ

鈴の音情報局blog

携帯関連の将来や最新の技術情報や業界の行く末などを適当に綴るblogです。 内容の信憑性は?余り信じない方がいいと思います。
本家の鈴の音情報局はこちら→http://suzunone.0g0.jp:8800/
スマホ・携帯端末アクセス[ランキング][アクセスシェア(グラフ)] (毎年10/1にログをクリア)

iOSにトロイの木馬登録可能な脆弱性有り、発見者をAppStoreから除名

動画:iOS に非署名コードを動かす脆弱性、発見者はApp Storeから除名 ~ Engadget
初代 iPhone 以来ほとんどのアップル製品に深刻な脆弱性を発見してきた「アップル 0-DAY 男」こと Charlie Miller 氏がまたやらかしました。今回ミラー氏が実演したのは、App Store で配布される一見無害なアプリを通じて外部から非署名のコードをダウンロード&実行させ、任意ファイルの外部送信、マイクやスピーカーの利用など、iPhoneの全機能を操作可能にする内容。
続きに掲載した動画では、ミラー氏が正規の手続きを踏んで登録した株価表示アプリ " InstaStock " を App Store からダウンロードしたのち、自前サーバに接続して本来とは別の機能をさせる (YouTube 動画を再生する)、リモートからアドレス帳データをダウンロードする、バイブを起動するといった様子が示されています。

セキュリティー関連の専門家と言っていい存在、Charlie Miller 氏がApp Storeから除名になったようです。

流れとしては、ミラー氏が株価表示アプリをApp Storeに登録。
普通にApp Storeからダウンロードして株価の登録アプリとして普通に使える代物です。

しかしそれ以外にミラー氏の独自のサーバから別の機能がダウンロードできる
ようになっていて、それがアップルの怒りを誘ったようです。
注目すべきは、一見無害でありつつ隠れた機能を持つアプリをApp Store の審査に通したこと(だけ) ではなく、本来はサンドボックス実行で原理的に悪さはできないはずのアプリが、システムの根幹にまで触れることが可能になってしまっている点。ミラー氏いわく、脆弱性は Safari の JavaScript の扱いにあり、iOS 4.3から JSの実行速度を上げるためメモリ上の扱いを変更したことに原因があるとのこと。この部分を外部アプリから突くことでシステムへの広範なアクセスを可能にしたと解説されています。

当人いわく、実証アプリを実際に登録して見せた理由は、脆弱性について机上だけで発表しても、「まず隠し機能を持つアプリが審査を通らないから実現不可能だ」と言われることが予測されたため。

勿論通常の手続き上ではアップルのApp Storeからの除名は正しいですが、実は
ミラー氏は3週間前にアップルに通報しており、その実証の為にアプリをApp Storeに
登録したわけで、既に報告されてあるセキュリティーホール入りのアプリを易々と
通過させてしまったアップル側の責任は無いような扱いはどうかなと思います。

報告が有った直後に登録したアプリよよくも調べもせずに登録してしまった
アップルに責任がないとは言い難いと思います。


ミラー氏は米国家安全保障局 (NSA)のアナリストを経験し、ハックイベントや
数々のiPhoneやAndroidのセキュリティーホールの報告でも有名な方です。
トロイの木馬アプリの削除はともかく、悪用するでもなくわざわざ自費で警告してくれたセキュリティ研究者を開発者プログラムそのものから除名することをアップルの狭量とみて非難する声もありますが、そもそも「チャーリー・ミラー」が単機能の株価表示アプリを申請してきた時点で疑いもせず通してしまうあたりには無限の懐の広さを感じさせます。

アップルもミラー氏がどういう方かよく知っているはずです。
その上でこのような流れになること自体、アップルの無限の懐の広さ(?)
ゆるゆるな体制(?)を思わせます。
関連記事
  1. 2013/11/17(日) 19:18:27|
  2. 携帯
  3. | トラックバック:0
  4. | コメント:1
<<Chromeのオートフィル機能、iOSにもやっと登場 | ホーム | iPhone5sゴールドが在庫有りに>>

コメント

むかーし見たような内容と思ったら

2011年の記事ですね。
この2年でアップルのやり方は変わったのかどうか?
というと、自分達の責任は認めないというところは変わってないのかなと。
それ以上に隠蔽体質もさらに悪化したかな?という印象ですが。。。
  1. URL |
  2. 2013/11/17(日) 22:03:41 |
  3. みどりん #/ZMAipOQ
  4. [ 編集]

コメントの投稿(投稿時には必ず何らかの名前を付けてください)


管理者にだけ表示を許可する

(名前を入れないとクリックできません)

トラックバック

トラックバックURLはこちら
http://suzunonejh.blog15.fc2.com/tb.php/4229-afc8997e
この記事にトラックバックする(FC2ブログユーザー)

最近の記事

機能リンク

最近のコメント

カテゴリー

ブログ内検索

ブログリンク

RSSフィード

QRコード

QR

月別アーカイブ



メールフォーム

お問い合わせ・ご質問はこちらから。

名前:
メール:
件名:
本文:

suzunone.m(あっと)gmail.com に
直メでもOKです。