SF DAは当初、AppleのiOS 7アクティベーションロックとSamsungのLoJackの盗難防止テストに満足していた

サンフランシスコ市の地方検事ジョージ・ガスソン氏は、アップルとサムスンが実証したスマートフォン盗難抑止システムは、犯罪を阻止する市の取り組みにおける「明らかな改善」であると述べた。

先週、ガスソン氏とニューヨーク州司法長官エリック・シュナイダーマン氏は、発表された北カリフォルニア地域情報センターの専門家と提携したプログラムで、両社の新しいセキュリティ技術をテストして「泥棒が一般的に使用する戦術に耐えられるかどうかを確認する」という取り組みが行われている。

フォローアップで報告によってサンフランシスコ審査官, ガスソン氏は、「彼らが来て、彼らの技術を私たちと共有することに前向きであると非常に楽観的だった」と述べた。

同氏はまた、MicrosoftのWindows PhoneもGoogleのAndroidも、自社のモバイルプラットフォーム向けに実証できる同様の技術を持っていないと指摘した。

スマートフォンの盗難は大規模なビジネスであり、米国連邦通信委員会は、全米の強盗の 3 分の 1 は携帯電話に関連していると述べています。テクノロジーに精通したサンフランシスコでは、この数字は強盗全体の半分近くとなっている。

ガスソン氏は、アップルとサムスンが使用する技術がどのように機能するかについては詳細を明らかにせず、まだ最終化されていないと述べた。 Apple の「アクティベーションロック」機能は iOS 7 の一部として NDA の下で維持されていますが、Samsung はセキュリティサブスクリプションサービスについてサードパーティと契約しています。

Apple、プラットフォーム盗難セキュリティを発表した最初の OS ベンダー

しかし、Apple の新しいアクティベーションロックは、この夏、同社の Worldwide Developer Conference でデモンストレーションされました。

この新機能には、ユーザーの iCloud アカウントをデバイスの低レベルファームウェアに埋め込むことが含まれており、たとえ泥棒がデバイスをワイプしようとしても、アカウントとパスワードが入力されるまではその後の「アクティベーション」を拒否します。

iOS の「アクティベーション」には、デバイスが Apple のサーバーに接続することが含まれます。これは、同社が特定の iCloud アカウントとデバイスの UUID に結び付けることができる追加のステップです。したがって、Apple は、両方の認証要素 (デバイスとアカウント) が提供されるまで、盗難が報告されたデバイスのアクティベーションを拒否できます。

Apple は最近、2 要素認証をサポートするために iTunes と iCloud に新しいセキュリティ層を追加しました (Apple はこれを「」と呼んでいます)二段階認証")。

つまり、ユーザーは、検証済みのハードウェアデバイスとアカウント資格情報パスワードの両方へのアクセスを要求するようにアカウントを構成できるため、リモートの第三者が資格情報を単純に推測したり、不正に取得したユーザー名とパスワードを単独で使用したりすることを防ぐことができます。

Apple はまた、これと同じ強化されたセキュリティを使用して、iOS 7 および OS X Mavericks の iCloud キーチェーンを介してユーザーのパスワードとクレジットカード番号の安全な暗号化された同期をサポートしており、このセキュリティ装置を使用して iCloud を介して iOS 7 アクティベーションを保護する予定です。

Apple の既存の「iPhone を探す」機能では、ユーザーが盗難デバイスを追跡したり、盗難後にデバイスをリモートでワイプしたりすることがすでに可能ですが、現時点では、窃盗犯が盗難デバイスをネットワークから取り出し、「工場出荷時の新品」の状態に消去することは簡単です。 iOS 6 ではまだアクティベーションがユーザーの iCloud アカウントに関連付けられていないため、簡単に再販できます。

iOS 7 の低レベルファームウェアに「iPhone を探す」機能を組み込むということは、窃盗犯は少なくともジェイルブレイクによってデバイスのセキュリティを破る必要があることを意味しますが、Apple はこれを積極的に不可能にしようとしています (趣味のクラッカーがセキュリティエクスプロイトを見つけ出そうとしているにもかかわらず)これを無効にすると、root アクセスが有効になり、盗まれたサードパーティ製アプリの海賊版が可能になります)。

Apple の追加のアクティベーション手順では、電話泥棒がデバイスのハードウェア UUID を偽装し、アクティベーションロック機能のサポートを省略して変更された新しいファームウェアをインストールすることも必要になるようですが、どちらも簡単な作業ではありません。

この機能がリリースされ、セキュリティ専門家によってテストされるまでは、決意の強い窃盗犯がこの機能を破るのがどれほど難しいかを言うのは困難です。しかし、これは犯罪者にとって新たな大きなハードルとなるでしょう。

iOS 7 ユーザーはアクティベーションロックを削除してデバイスを再販できます。新規購入者は、アクティベーションロックを使用してデバイスを自分の iCloud アカウントに関連付けることができます。ただし、ユーザーがロックした後にアカウントのパスワードを忘れた場合、アカウントの資格情報がリセットされるまでデバイスを再アクティブ化できない場合があります。

サムスン、ファームウェアと連携したアプリを販売

GoogleがAndroid向けに同様のものを提供することはなく、サムスンはサードパーティ開発者のAbsolute Softwareと提携して、スマートフォンラインナップの少なくとも1モデルであるGalaxy S4に「LoJack」ブランドのソリューションを提供した。

Samsung のセキュリティアプリソリューションは、概念的にはサードパーティの使用と似ています。ノックス特定の新しい Galaxy スマートフォンで Android に欠けているエンタープライズセキュリティ機能を強化するソフトウェア。

Samsungが携帯電話のファームウェアに組み込んだLoJackアプリは、iCloudの「Find My Phone」と同様に、ユーザーが紛失したデバイスをリモートでロック、ワイプ、位置特定できるとしているが、「デバイスを取り戻すために世界中の法執行機関と協力する」とも述べている。」

このサービスは年会費29.99ドルで提供されるが、AppleのiCloudとFind My PhoneはiOSユーザーには無料である。

Absolute は、同社の LoJack アプリは「ユーザーがアプリをインストールしてアクティブ化すると、工場出荷時設定へのリセットでは削除できない」と述べていますが、窃盗犯は「工場出荷時設定へのリセット」を超えて、ファームウェア自体の ROM フラッシュを実行するのに十分な知識を持っている可能性があります。デバイスをルート化した後、注目したによるアンドロイド警察

一般に、Android プラットフォームの「オープン性」により、そのようなファームウェアレベルのソリューションをセキュリティで保護することが難しくなります。Google 自体が、必要なセキュリティアプリのサポートが欠けている新しいコードで Android システムのファームウェアを root 化して再インストールすることに反対していないからです。

Samsung やその他の Android ライセンシーは、Apple と同様に、ソフトウェアとビジネスモデルの両方を保護するために、一部のデバイスの root 化をより困難にする取り組みを行っていることがよくあります。

ただし、Android のコアファームウェアからセキュリティ要素を削除することも、iOS よりもはるかに簡単です。これは、基盤となる Android ソフトウェアがオープンソースであり、そのようなセキュリティが欠如しているコア Android ファームウェアと比較できるためです。