2015年6月22日月曜日

Apple iOSとOS XでキーチェーンサービスわCrackするとこで、iCloudやメールなどパスワードが盗まれる。半年も放置していた・・・。

AppleのiOSとOS Xに存在するゼロデイ脆弱性を利用して、Appleのパスワード保存システムをクラックできることを複数の国にまたがる共同研究チームが指摘しています。MacやiOSのユーザーは、端末に保存しているiCloudのパスワードやGoogle Chromeなどに保存されているパスワードを盗み取られる危険性があるとのことです。

~中略~

また、OS XとiOSを搭載する端末内で複数のアプリのパスワードと証明書を保存している『キーチェーンサービス』をクラックすることで、攻撃者はOS XとiOSの標準搭載アプリの通信機構を使ってiCloudのパスワードや、メールソフトとGoogle Chromeなどに保存されているパスワードを盗み取ることが可能とのこと。Evernote・Facebook・WeChatなどの個人情報が多く含まれるアプリの情報を盗み取ることが可能で、これらのバグを悪用すればOS XとiOS用に配信中のアプリのうち約88.6%のアプリから情報が盗み取られる可能性があるそうです。

~中略~
研究を率いるLuyi Xing氏は2014年10月にこれらのバグについてAppleに報告していて、Appleからは「脆弱性を公開するまで6カ月待ってほしい」と返答がありましたが、6カ月以上経った今も、Appleからは何の連絡もないそうです。

研究チームがGoogle Chromeの開発チームに連絡を取ったところ、「アプリのレベルではバグを解決できない可能性が高い」という回答を得たとのこと。さらに、パスワード管理ソフト1Passwordを提供しているAgileBitsは「攻撃を回避する方法を4カ月にわたって検討しましたが、発見できていません」と語っています。この問題は簡単に解決できるものではないため、研究チームでは、OS Xへの攻撃を検出して脆弱性のあるアプリを攻撃される前に保護するコードを作成しています。

テクノロジー系ニュースサイトのThe Registerによると、この問題は記事作成時点も未だ解決しておらず、Appleはコメントを控えているとのことです。

http://gigazine.net/news/20150618-ios-os-x-password-killer/こちらのリンク先より一部引用しました。詳しくはリンク先を。

そう、Appleなら。
しかし、windowsより強固と言われていたが、実際は、狙う価値も無いから無視されていただけ?

Apple信者は知っても知らないふりですかね。

Androidと話題ネタを