Googleのエンジニアは、悪意のあるiOSアプリがユーザーをスパイすることが可能であることを実証した。概念実証アプリでは、ユーザーが知らないうちにiPhoneの両方のカメラから写真や録音を行うことができ、すべてアクセスを許可するユーザーによって付与された権限を悪用することができる。カメラに。
Fastlane.Tools の創設者である研究者の Felix Krause は、watch.user コンセプト アプリカメラの権限をどこまで拡張できるかを示すため、レポート 次のウェブ。クラウス氏は、一度許可されると、アプリがフォアグラウンドにあるときはいつでも、フラッシュやその他のインジケーターで画像やビデオが撮影されていることをユーザーに知らせることなく、カメラから写真や録画を行うことが可能になるとアドバイスしている。
Krause氏はまた、iPhone自体からライブフィードをブロードキャストするなど、画像やビデオをアプリのサーバーにアップロードできるとも主張している。悪意のある開発者が画像データに基づいてユーザーの位置を特定し、静止画で顔認識を実行してユーザーの他の写真を見つけたり、ユーザーの身元を特定したりする可能性があることが示唆されています。
テストアプリの機能をデモするビデオでは、ユーザーの口、鼻、目、顔全体の動きを追跡し、顔の表情に基づいてユーザーの気分を判断することもできることが示されている。 Krause氏は、この部分にはiOS 11で導入されたVisionフレームワークを使用しており、開発者がユーザーの顔の動きを追跡できるように設計されているとアドバイスしている。
特に、この問題はアプリがフォアグラウンドにある場合にのみ問題となるが、それでもプライバシーの問題が発生する可能性があることをクラウス氏は強調している。たとえば、ユーザーがトイレにいるときにソーシャル アプリを閲覧することに決め、そのアプリにそのようなコードが含まれている場合、理論的には、ユーザーをある程度危険な位置に記録することが可能になります。
人々は決してカメラの許可を与えないだろうという批判に答えるために、クラウス氏は、多くのユーザーがすでに画像ライブラリやカメラへのアクセスをソーシャルネットワークやメッセージングアプリに提供しており、それらが悪意のあるコードで更新される可能性があると警告している。
クラウス氏は、心配しているユーザーがカメラの視界を完全に遮断するカメラカバーを使用することで身を守ることができると示唆しており、研究者はこれが「唯一の本当に安全な方法」であると主張している。また、ユーザーには、すべてのアプリのカメラ アクセスを取り消し、常に内蔵カメラ アプリを使用し、各アプリの画像ピッカーを使用して公開する写真を選択するか、コピー アンド ペーストを使用して画像を移動することをお勧めします。アプリケーションに。
研究者はこの問題を Apple に開示すると同時に、この問題が長期化することを回避する方法についていくつかの提案を行っています。提案には、アプリにカメラへの一時的なアクセスを提供すること、カメラがアクティブであることを示すアイコンをステータス バーに配置すること、アプリがカメラにアクセスするときにステータス バーが強制的に表示されることなどが含まれます。
ハードウェア面では、Krause 氏は、サンドボックス アプリによって遮断できない LED を両側のカメラ モジュールに追加することを提案しています。これは、カメラが使用されているときに常に点灯する MacBook で使用されている LED に似ていますが、iPhone の上部ベゼルがワンランク上に進化していることを考えると、Apple が iPhone のデザインにそのような変更を加えるとは思えません。 X.
Krause が発見した iOS の潜在的なセキュリティ ホールはこれだけではありません。以前今月, Krause氏は、iTunesやApple IDのパスワードを入力する際に使用するものと同様のポップアップを表示する別の概念実証アプリを公開したが、これは理論的にはユーザーの資格情報を盗むために使用される可能性がある。
Isamu 
Isamu