「OS X と iOS マルウェアの新時代」を不安視する見出しにもかかわらず、iOS と OS X 用の Apple のセキュリティ システムは、Android や Windows などのオープン プラットフォームに影響を与えるユビキタスなマルウェアへの曝露からユーザーを保護する目的で意図どおりに機能しています。ここでは、Apple のユーザーが実際にどれだけ安全であるか、また、ユーザーがどのようにして発生する脅威から保護され続けることができるかについて、センセーショナルではない現実的な事実を紹介します。
Mac および iOS ユーザーは、iOS デバイスをジェイルブレイクしてセキュリティ システムをバイパスしない限り、デフォルトでウイルスやマルウェアから保護されます。 Mac OS X の GateKeeper の保護を無効にする。または、iOS が「信頼できないアプリ開発者」からのものであると識別するアプリのインストールを「信頼」することを選択します。ここでは、これらのシステムがどのように機能するのか、そしてユーザーが騙されてセキュリティをオフにすることを回避する方法を説明します。
「WireLurker」、最近のトロイの木馬攻撃詳しいパロアルトネットワークスによるこの攻撃は、Apple によって数時間以内に、主要なセキュリティ機能が無効になっている Mac 上であっても、あらゆる形式でブロックされました。
Appleは先週、「中国のユーザーを対象としたダウンロードサイトから悪意のあるソフトウェアが入手可能であることを認識しており、特定されたアプリが起動できないようにブロックした」と声明で述べた。
Apple は以前、XProtect を使用して、ユーザーがインストールした Mac マルウェア (ロシアのマルウェアなどの「トロイの木馬」) をリモートで無効化しました。ヨントゥー昨年ブロックされた）または重大な潜在的なセキュリティ脆弱性を持つソフトウェア コンポーネント（Oracle など）ジャワ）、管理不能なセキュリティ問題に発展する前に問題の芽を摘みます。
XProtect は非常に効果的であるため、Mac における最後の重大なマルウェア問題 (フラッシュバック) は、Adobe Flash Player を装ったトロイの木馬で、XProtect を無効にすることを特に目的としていました (ただし、マルウェアは実際にはこれを実行できませんでした)。WireLurker と Masque Attack はウイルス性ではなく、意図的にセキュリティを無効にし、iOS および Mac 用の Apple 組み込みの信頼検証システムを回避してアプリを手動でインストールしない限り、ユーザーが感染することはありません。
WireLurker によって悪用された脆弱性ベクトルの 1 つを共有する関連エクスプロイトである Masque Attack では、同様に、未知のソースからのソフトウェアのインストール要求を「信頼する」ことがユーザーに要求されますが、このステップは Apple によって簡単に実現されました。幸いなことに、信頼できない開発者からのこのようなアプリを誤って信頼したユーザーは、iOS プロビジョニング プロファイルを確認して、すでに承認した自己署名証明書を無効にすることができます。
WireLurker と Masque Attack はウイルス性ではなく、意図的にセキュリティを無効にし、iOS および Mac 用の Apple 組み込みの信頼検証システムを回避してアプリを手動でインストールしない限り、ユーザーが感染することはありません。
無知で怖がる必要はない
それでも、センセーショナルなブログが実際にどれだけ安全なのかについてユーザーを混乱させるのはやめられません。クリス・スミス、執筆中BGRは、特定されたマルウェアがジェイルブレイクされたデバイスの広く開かれた世界の外に実際にマルウェアの実際のペイロードを配信することなく、中国で数か月にわたって流通していたにもかかわらず、中国のマルウェアの小規模な配布が「あなたを怖がらせるはずである」と読者を説得するために段落を費やしました。
Mac および iOS ユーザーは「恐れる」必要はありませんが、騙されてマルウェアをインストールできないように、Apple のセキュリティ システムがどのように機能するかを一般的に理解する必要があります。 Apple が iOS のセキュリティをこれまで以上に簡単に回避できるようになったことで、これはより複雑な問題になっていますが、依然としてユーザーからの明示的な「信頼」承認が必要です。
皮肉なことに、ほんの 2 年前、電子フロンティア財団は悪者扱いするiOS と OS X のデフォルトのセキュリティを「Apple のクリスタル刑務所」および「手の込んだ誤った指示」とみなして、同社に対し「設定メニューにドリルダウンし、ラッチを解除する簡単で文書化された信頼性の高い方法」を提供するよう求めた。水晶の牢獄の門を出て、去ってください。」
WireLurker、Masque Attack では、ユーザーに「クリスタル刑務所の門の掛け金を外して立ち去る」ことが求められます。
WireLurker は、最初に Mac ユーザーをだましてマルウェアをインストールさせようとしたという点で独特です。ユーザーが Mac のセキュリティを無効にし、WireLurker を搭載したサードパーティの Mac アプリを手動でインストールすると、そのアプリはジェイルブレイクされた USB 接続の iOS デバイスに悪意のあるコードをインストールしようとしたり、マルウェアを非暗号化デバイスにコピーしようとしたりする可能性があります。エンタープライズ アプリ展開ツールを使用して脱獄された iOS デバイス。これは Masque Attack が使用するベクトルと同じです。
Apple は XProtect を使用して Mac 上での WireLurker の実行を即座にブロックし、Mac から接続された iOS デバイスへの移動を許可する企業認証情報を取り消したため、現時点では WireLurker は本当の脅威ではありません。 Apple のセキュリティ対策は意図したとおりに機能していますが、企業ユーザーが App Store 以外で独自のカスタム アプリを開発してインストールできるようにするために Apple が作成したメカニズムを使用して、ユーザーがだまされてソフトウェアをインストールする可能性は依然としてあります。
ここでは、Apple の OS X および iOS セキュリティ システムとその仕組みの概要を説明します。
Apple の Mac XProtect の仕組み
アップルのXプロテクトOS X のサブシステムは、悪意のあるソフトウェアが発見されてから数時間以内に既知のマルウェア定義のブラックリストを Mac ユーザーに展開するように構成されています。 Mac は毎日新しいマルウェアの定義を自動的にチェックし、Apple が新たな脅威を特定するとすぐにブロックを開始します。
XProtect は非常に単純なウイルス対策スキャナのように機能します。Apple には悪意のあるコードが最初にインストールされるのを防ぐためのセカンダリ システムがあるため、Mac に必要なのはこれだけです。これらの対策は、ユーザーがオフにしない限り、機能することが証明されています。
初め紹介された5 年前の 2009 年、OS X 10.6 Snow Leopard では、Apple の XProtect システムは常にオンになっていました。 Windows 用に設計されたより複雑なウイルス対策スキャン ツールとは異なり、Apple の Mac 用 XProtect システムは、システム上のすべてのファイルと電子メールを常にスキャンして不正なコードを探しているわけではないため、大量のメモリや CPU リソースを消費しません。
XProtect ではその必要はありません。 Android や Windows とは異なり、Mac プラットフォームはウイルスやスパイウェアによる容赦ない攻撃にさらされていません。珍しい新しいエクスプロイトが Mac (または iOS) に現れると、その発見は実際には大きなニュースとみなされます。 Mac や iOS デバイスに組み込まれている一連のセキュリティ第一の決定により、これらの攻撃はまれであるだけでなく、予防および修正も非常に簡単です。
Apple は iOS のセキュリティを段階的に改善し、iOS で先駆的に開発されたセキュリティ機能を OS X Mac プラットフォームに導入し、実行できるアプリ、アクセスできるデータ、想定できる権限を制限する障壁を導入しました。これらの保護が導入されているため、Apple のユーザーは、マルウェア、スパイウェア、アドウェアの問題にさらされることを避けるためにコンピュータ サイエンスの専門家になる (または雇う) 必要がありません。
iOS アプリの署名と OS X Gatekeeper の仕組み
XProtect は Mac ユーザーが手動でインストールしたマルウェアを無効にしますが、GateKeeper はユーザーが最初から安全でないソースからアプリをインストールできないようにします。門番さん、紹介された2012 年の OS X 10.8 Mountain Lion では、iOS スタイルの安全なアプリ署名をデスクトップ PC に事実上導入しました。
テクノロジーコミュニティの多くは、Appleのセキュリティ規則強化に対して怒りを表明している。 GateKeeperの発表後、エリスハンバーガー書きました記事「フラストレーションのサンドボックス: Apple の壁に囲まれた庭園が Mac 開発者に迫る」ザ・ヴァージ、「2月にMountain Lionが発表されたとき、開発者らはアプリの再構築にどれだけの労力がかかるかということもあり、新しいルールについてAppleを激しく非難した」と述べている。
数か月後、デヴィッド・ストライトフェルドも同様に書きましたのためにニューヨークタイムズiOS App Storeを管理するルールをAppleが決定できることは、「インターネット全体にとって有害になる可能性がある」と述べた。
Apple のモバイル iOS は、最初から「署名されていない」サードパーティ ソフトウェアのインストールを防ぐように設計されていました。 Apple が 2008 年に iOS App Store をオープンしたとき、すべての iOS アプリがセキュリティ証明書で署名 (暗号化) されることを要求しました。 iOS は、信頼できるソースからのものであり、開発者によって署名されてから変更されていないことをシステムが検証できるアプリのみを実行するように設計されています。
開発者が Apple の App Store を通じてアプリを展開すると、アプリは開発者の秘密キーによって「署名」または暗号化されます。 iOS では、ユーザーがセキュリティ システムを意図的に「脱獄」しない限り、これをオフにする方法はありません。これは、システムによるアプリ署名の検証をオフにするために既存の脆弱性を悪用するプロセスです。
アプリのサイドローディングの危険性
2013 年初頭、Apple の iOS App Store が比類のない成功を収めて 5 年が経った頃、ディラン・ラブ氏はビジネスインサイダー 結論付けたごく一部の iOS ユーザーが携帯電話をジェイルブレイクしようとしているのは、Apple がセキュリティ ポリシーを格下げすべきであるという証拠だという。
「これは明らかにアップルの顧客ベースが、ことわざの『壁に囲まれた庭』からもっと抜け出したいという強いメッセージを送っていることだ」と同氏は述べた。
Android にも同様の、ただしオプションのアプリ用コード署名機能がありますが、Google は一連のミスを犯し、プラットフォーム上のマルウェアをブロックまたは無効にする機能を弱めました。この夏、Android の偽のIDこの脆弱性は、Android が証明書を適切に検証できなかったため、システム上のあらゆるアプリが、システムが広範なアクセスを許可するソフトウェアであるかのように偽ることができるという事実から発生しました。
この問題は、Google Play 以外でアプリを購入し、この欠陥に対するパッチを適用していないほとんどの Android ユーザーに依然として影響を及ぼしています。ほとんどの Android ユーザーが、価格が 200 ドル未満の基本的なデバイスを使用しているため、問題はさらに複雑になります。ハードウェア メーカーまたはキャリアによって定期的に (または常に) 更新されます。
Googleは実際、AppleのApp Storeを制限の「壁に囲まれた庭園」と軽蔑しながら、寛容なソフトウェアのインストールを「機能」と呼び、ユーザーにアプリのサイドローディングを奨励している。その結果、Android では一連の複雑なセキュリティとプライバシーの問題が発生し、多くの場合ローエンド デバイスを使用するユーザーを効果的に悪用しています。ユーザーは、ノックしてくるアプリが比喩的に玄関から入ってくることを許可することがどれほど危険であるかを理解している可能性が最も低いのです。ベッドに潜り込みます。
まったく対照的に、Apple は最新の iOS および OS X リリースの展開を非常に優先しているため、Apple ユーザーの大部分はアップデートを迅速にインストールでき、実際にインストールしていますが、他のプラットフォームのユーザーはパッチやアップデートをまったく入手できないことがよくあります。たとえ彼らがそれらについて知っていて、インストールしたいと思っていたとしても。
しかし、Apple はまた、企業や個人が自己署名し、信頼するユーザーに独自のアプリを配布することをますます容易にしています。これにより、不明なソースからのアプリを信頼するユーザーに対して、Android に存在するのと同じ種類の「サイドローディング」セキュリティ問題への扉が開かれました。
アプリの署名により著作権侵害をブロックし、アプリの正当な市場を創出します
新しい iOS がリリースされるたびに、Apple は定期的に脱獄者が iOS のセキュリティを回避するために使用するメカニズムを打ち破ります。脱獄は App Store の大量かつ低価格の市場に対する直接の脅威だからです。ジェイルブレイクされた iOS デバイスではアプリが海賊版になる可能性があるため、Apple はジェイルブレイクを簡単にしていません。アプリ署名は開発者だけでなくエンドユーザーも保護し、iOS の不正な動作を効果的に取り締まります。
効果的なセキュリティ システムがなければ、iOS は Windows や Android プラットフォームのようになります。ソフトウェアの著作権侵害が蔓延し、マルウェアが蔓延し、気付かない大勢のユーザーが簡単に感染したりスパイしたりする危険な攻撃が蔓延することになります。略奪、不法侵入、強盗を阻止する警察が存在しなければ、それらの問題は急速に制御不能に発展します。
iOS と OS X は、低価格で高品質なアプリの恩恵を受ける人々、つまりエンドユーザーと開発者を保護するためにプラットフォームをロックダウンします。これは、マルウェア作成者やアプリを盗もうとする人々の犠牲になりますが、Apple が App Store での配布を承認していないコードを配布しようとする人々にも影響を与えます。
エンタープライズアプリのプロビジョニングにより新たな脅威が生まれる可能性がある
企業ユーザーは、カスタム App を App Store で入手できるようにするのではなく、自社の従業員のみに配布したい場合があります。こうしたユーザーのために、Apple は、アプリを保証するプロビジョニング プロファイルとともに、iOS アプリを効果的にサイドロードできるようにしました。
Apple は、iOS アプリを厳しく規制し続けています。なぜなら、複数のソースからの正規に見えるアプリが、本物ではないものになりすまし、ユーザーの信頼を侵害し、悪用できる安全でないプラットフォームに iOS を戻すことを望まないからです。ただし、ユーザーが信頼できない開発者のアプリを「信頼」することを選択した場合、エンタープライズ アプリのプロビジョニングにより、悪質なアプリを配布する新たなベクトルが開かれます。
iOS が登場する以前は、悪意のあるデスクトップ ソフトウェア作成者が正規のツールを装った悪質なコードを作成して配布し、ユーザーをだまして実行させることができました。マルウェアは、現実世界のウイルスが健康な細胞に DNA を注入するのと同じ方法で、システム上の他のアプリに自分自身をコピーし、自分自身の DNA をより多く複製させるのと同じ方法でアプリを改変することによって隠れることもあります。ソフトウェア ウイルスは、システムをだまして複製コードを実行させることで自分自身を複製できるソフトウェアです。
iOS アプリの署名セキュリティ (および OS X の同一の GateKeeper) は、これらすべてのシナリオの実現を妨げる壁を作成します。まず、デフォルトでは、Mac と iOS デバイスでは、既知の開発者によって署名されていないソフトウェアをユーザーがインストールすることは許可されていません。どちらのシステムも、アプリを実行する前に変更がないかチェックし、開発者が署名した後に感染したものや改ざんされたものをブロックします。
アプリが他のアプリのデータを無差別に読み取ることも禁止されており、ユーザーの連絡先、写真、位置情報、その他の種類のデータにアクセスするには、システムからユーザーの許可を求める必要があります。 iOS および OS X のアプリ署名により、Apple のプラットフォーム上に存在するウイルスが効果的にブロックされ、コンピューターではなくユーザーを騙すことに依存する他の非ウイルス性マルウェアからユーザーが身を守ることが容易になりました。
GateKeeper を「どこでも」に設定することは、iOS をジェイルブレイクすることと同じです
Mac では、Apple のアプリ署名セキュリティは「GateKeeper」としてブランド化されていますが、この機能は、[一般] タブの [システム環境設定] の [セキュリティとプライバシー] パネル内でのみユーザーに公開されます (「GateKeeper」の表示はありません)。デフォルトでは、これは「Mac App Store と識別された開発者」に設定されています (以下に示すように)。
この設定により、システムは、Mac App Store からの署名付きアプリ、または Mac が認識する認証局によって署名された「サイドロード」アプリのみを実行できるようになります。たとえば、企業が登録した証明書で署名された独自のカスタム アプリを配布する企業開発者などです。りんご。
これは、App Store のタイトルの実行のみをアプリに許可するようにさらに制限することも、「どこでも」を選択して効果的に無効にすることもでき、これにより、WireLurker のような悪質なコードに感染したアプリを含むマルウェアをユーザーが手動でインストールできるようになります。Apple のセキュリティをオプトアウトすると、ライバルのプラットフォームにはびこるマルウェア、スパイウェア、アドウェアのポップアップが広がるオープンワールドと同様に、エンドユーザーは自分自身のセキュリティを管理する責任を負うことになります。
Apple がユーザーによる署名のないアプリの実行をまったく阻止している iOS とは異なり、Mac ユーザーは GateKeeper を完全にオフにすることができます。これは、Mac のデフォルト設定では防止できないリスクにさらされることになり、Windows でウイルス対策ソフトウェアを非アクティブ化するのと同様です。ユーザーは、署名されていない Mac アプリの実行を許可する場合には細心の注意を払う必要があります。
「どこでも」設定でアプリ署名セキュリティをオフにすることに加えて、ユーザーは未署名のアプリを起動しようとすることで、GateKeeper セキュリティを一時的にバイパスすることができます。アプリの実行がブロックされたという警告を受け取った後、ユーザーは手動でシステム環境設定に移動し、ワンタイム ボタンをクリックして、以前にブロックされた未署名のアプリをシステムに強制的に実行させることができます。これは、Gatekeeper を完全にオフにするのと同じくらい本質的に危険です。
信頼できないアプリ開発者の iOS アプリを信頼することはジェイルブレイクと同等です
ユーザーが署名のないアプリをインストールして Mac のセキュリティ防御を無効にすると、インストールしたマルウェアが iOS デバイスにさらに感染する可能性があります。 WireLurker の場合、エンタープライズ開発者証明書によって署名された iOS ペイロード アプリがインストールされる可能性があります。このアプリがインストールされると、iOS の脆弱性を悪用してさらなる被害を与える可能性がありますが、WireLurker の現在のバージョンはエンタープライズ アプリ開発パスを悪用して、その能力を実証する目的で漫画アプリを配信するだけでした。
Masque Attack も同様に、企業のプロビジョニングを利用してユーザーを騙し、油断させ、信頼できないアプリを承認させます。プロビジョニング プロファイルとともに配布されると、潜在的に悪意のあるアプリは、ユーザーがインストールを「信頼」することをシステムを通じて要求するだけです。ユーザーが「信頼」をクリックすると、システムは、通常の App Store ルールをバイパスして、その iOS デバイス上でアプリを実行できるようにするプロビジョニング プロファイルをインストールします。
しかし、Apple の企業プロビジョニング システムは、単にユーザーが基本的なセキュリティをオフにすることを許可するだけではなく、さらに深刻な問題を引き起こします。 FireEye の研究者が詳しく説明しているように、悪意のあるアプリは、自分自身を基本的で無害なものとしてユーザーに報告し、その後、システムに対して自分自身を既存のアプリの代替として提示する可能性があり、この夏の Android に関する偽 ID 問題といくつかの点で似ています。 。
既存のアプリのバンドル識別子を自分自身に与えることで、ユーザーがインストールを「信頼」すると、マルウェア アプリはユーザーが信頼する別のアプリを置き換えるだけでなく、そのデータを継承することもできます。これにより、マルウェアは基本的にユーザーをだまして、インストールしたつもりのものが実際にはシステム上の別のアプリを上書きしていることに気づかずに、既知のアプリを不正なアプリに更新させることができます。
研究者らは、アプリが「New Flappy Bird」を装い、ユーザーにそのインストールを信頼させるよう誘導するものの、システムに対して自身を com.google.Gmail であると認識させ、ユーザーの Gmail アプリを乗っ取ることを可能にするアプリの例を提示しました。その後、Gmail アプリを装ってユーザーの認証情報を要求し、ログインを盗む可能性があります。このようなマルウェアは、アプリを置き換える際に、元のアプリのキャッシュから機密データを収集する可能性もあります。
さらに悪いことに、Apple はカスタム企業アプリを、プライベート API やサンドボックスへのアクセス制限を含む App Store ルールから免除しています。これにより、ユーザーを騙してインストールするマルウェアが、バックグラウンド監視、システム パスワード要求のなりすまし、ユーザーにアカウント ログインを提示させること、さらには他の脆弱性を利用して、システムへのアクセスをさらに強化します。
信頼できないアプリ開発者のアプリを信頼しないでください。
したがって、Masque Attack を特定した研究者はユーザーに次のようにアドバイスしています。Apple の公式 App Store またはユーザー自身の組織以外のサードパーティ ソースからアプリをインストールしないでください。」
同グループはユーザーに対しても次のように警告している。ポップアップにアプリについてどのような内容が表示されていたとしても、サードパーティの Web ページからのポップアップでは [インストール] をクリックしないでください。ポップアップには、攻撃者が作成した魅力的なアプリのタイトルが表示される場合があります。」
第三に、「アプリを開いたときに、図 3 (上) に示すように、iOS に「信頼できないアプリ開発者」という警告が表示された場合は、「信頼しない」をクリックしてアプリをすぐにアンインストールしてください。」
iOS がアプリに開発者証明書による署名を要求することの副次的な利点の 1 つは、マルウェア作成者が正規のアプリ署名証明書を盗んだり、借用したり、その他の方法で取得し、それを使用して iOS デバイスにマルウェアをインストールすると、Apple がその署名を取り消すことができることです。これにより、署名付きアプリの実行がブロックされます。
ユーザーが「信頼できないアプリ開発者」の自己署名アプリを「信頼」すると、iOS 7 は、設定 / 一般 / プロファイル / プロビジョニング プロファイルで確認できるエンタープライズ プロビジョニング プロファイルもインストールします。同グループは、iOS 8では「デバイスに既にインストールされているプロビジョニングプロファイルは表示されないため、アプリをインストールする際には特に注意することを推奨する」としている。
セキュリティ専門家、Apple に iOS を Google の Android に似せないものにするよう要求
iOS アプリ署名、GateKeeper、Xprotect を組み合わせることで、Apple は問題が発生する前に対処してブロックしたり、提供されたセキュリティを回避するユーザーに関連する問題を逮捕したりすることが容易になります。 Apple のユーザーは常に攻撃にさらされますが、セキュリティがあまり重視されない他のプラットフォームのユーザーよりも安全です。
セキュリティ専門家らは、テクノロジーメディアが長年要求してきたように、Appleにソフトウェアの「ウォールドガーデン」ポリシーを緩和するよう求めるのではなく、AppleがApp Storeの壁をさらに強化することを推奨している。セキュリティ専門家らは、テクノロジーメディアが長年要求してきたように、Appleにソフトウェアの「ウォールドガーデン」ポリシーを緩和するよう求めるのではなく、AppleがApp Storeの壁をさらに強化することを推奨している。
特にFireEye呼ばれたAppleは「企業ユーザーをこれらおよびその他の高度な攻撃から保護するために、より強力なインターフェースを専門のセキュリティベンダーに提供する」としている。
セキュリティ専門家のジョナサン・ズジアルスキー氏も、呼ばれたAppleはiOSに「アプリケーションをインストールする前にユーザーにプロンプトを表示するよう改善する」よう求めており、「ユーザーがOKをクリックしようとしている内容についてより徹底的に説明することは、多くのユーザーがソフトウェアのインストールを許可するのを防ぐのに役立つ可能性が高い」と指摘した。まず iOS にインストールしてください。」
さらに同氏は、Apple がエンタープライズ アプリのインストールをデフォルトで無効にするよう推奨し、「大多数の非エンタープライズ ユーザーはエンタープライズ アプリを 1 つもインストールする必要はなく、インストールしようとしても失敗するはずです。では、なぜ Apple はこの機能をロックしないのでしょう」と述べています。明示的に有効にしない限りアウトですか？」
Zdziarski 氏はまた、マルウェアがインストール時に別のアプリになりすますのをブロックする、より厳格なアプリ ポリシーを推奨しています。これには、企業プロビジョニング署名証明書をアプリ バンドル ID にリンクする新しいルールや、一致するホスト名を使用して Web サービスにアクセスするアプリのバンドル ID を制限する新しいルールも含まれます。 (たとえば、com.facebook.messenger として識別されるアプリが、messenger.facebook.com として識別されるサーバーにのみデータを送信できるようにします。
Zdziarski 氏のもう 1 つの推奨事項は、新しい iOS デバイスのセキュア エレメントを使用してアプリを検証することです。ただし、Touch ID を搭載しているのは新しい iPhone 6 モデルと iPad の最新バッチのみです。セキュアエレメント。
Isamu 
Isamu 
Isamu