世界のセキュリティ・ラボから連載をフォローAndroidに見つかったパーミッションモデルの欠陥2011.12.15コピーしましたPRAndroidに関連したセキュリティが話題が多いことは、2011年の大きな特徴の一つ。その中でも、最近目立っているのが、アプリによる端末からの情報取得と、そのためのパーミッションに関する話題である。英ソフォスは、ノースカロライナ州立大学の研究チームがAndroidスマートフォンで検出したセキュリティの問題について説明した。Androidでは、アプリケーションが個人情報にアクセスするには、事前にユーザーの許可を得なければならない仕組みになっている。S」の8機種を調べたところ、この重要なパーミッションベースのセキュリティ機能を、悪意のあるハッカーがすり抜けられる問題が見つかった。研究報告によると、これら8機種には、ストックファームウエアを強化するためにメーカーが追加したインタフェースやサービスに欠陥コードがあり、パーミッションベースのセキュリティが正しく実装されていないという。ユーザーの個人情報や通話機能へのアクセス権限に関する複数のパーミッションが適切に機能せず、本来そうした情報へのアクセスを必要としない他のアプリケーションにもアクセスを許すようになっている。研究チームは、この問題が現在市場に出回っている多数のAndroidスマートフォンに、重要なセキュリティの脆弱性をもたらしていると指摘している。研究チームが調査で使用した評価ツールは、13の定義済みパーミッションにしか対応していないという制約があったため、結果は限定的だという。定義済みのパーミッションは他にもたくさんあり、アプリケーションが新たにパーミッションを定義することもできる。評価ツールを他の定義済みパーミッションにも対応させれば、同様の結果が多数判明すると考えられる。新たなパーミッションをサポートした場合、第2、第3のアプリケーションにパーミッションが渡るという現象が見つかる可能性があるという。この問題は、悪意のあるサードパーティー開発者の関心を多いに引きつけるものだと、研究チームは忠告する。ユーザーがパーミッションを承認した覚えがないまま、一見したところ無害なアプリケーションどうしが共謀して、位置の追跡やSMSメッセージ送信、盗聴といった不正行為を働く可能性がある。CarrierIQとキーロガーとモバイル決済システム上記のような欠陥コードではなく、アプリに実装されている情報収集モジュールも問題視されている。具体的には、ユーザーが承認した以上の情報を密かに収集しているとして、Android端末などにインストールされている「CarrierIQ」ソフトウエアが議論の的になっている。これを受けてスロバキアのイーセットはブログで、モバイル決済システムをとりまく脅威についてで説明し、モバイルバンキングなどのアプリケーションが成熟するにはもう少し時間が必要だとの見解を示した。IQがAndroidユーザーの気づかないうちにキー入力を記録しているとのテスト結果を報告した。イーセットがHTC製スマートフォンを確認すると、簡単にCarrierIQが見つかったという。CarrierIQは工場出荷持にインストールされ、幅広いデータにアクセスできる複数のパーミッションを取得している。CarrierIQが求めるパーミッションの一部リストこのほかにも、ユーザーのキー入力を記録して攻撃者に送信しようとするモバイルマルウエアの例がいくつかある。イーセットは、「われわれは、セキュリティの面で、普及するモバイルバンキングや決済アプリケーションに対する準備はできているのか?」と質問を投げかけている。タップや入力といった操作の最中にバンキング情報が記録され盗み出される恐れはないと、ユーザーは本当に信頼できるか、という問いかけである。スマートフォンを使ったオンライン購入に関しても同じ疑問が生じる。企業データにアクセスする必要があるスマートフォンなら、キーロガーなどによって企業の機密情報が記録され、重大なセキュリティ侵害が発生することも考えられる。Androidアプリケーションのオープンな開発および実装モデルは、Androidプラットフォームに多くの開発者を引きつける要素となり、他のスマートフォンのエコシステムを超えて急拡大した。サードパーティーのアプリケーション開発者が意図的にしろ無意識にしろ、セキュリティホールを追加できる可能性が無数にあることを考えると、そのモデル全体として懸念を引き起こすことになるかもしれない。ユーザーの生み出す情報を記録しようとする行為が邪悪な意図によるものだとは断定できないが、多くのユーザーは心配ならオプトアウトするという選択肢があれば、より心安らかになれるだろう。端末上で何が行われているかすべて開示されれば、ユーザーは十分な情報を得たうえでより良い判断を下すことができる。Android向け脅威は実在するか?最後に、ロシアのカスペルスキーラボによる「Androidを狙う実際の脅威について」の考察を紹介しよう。カスペルスキーによると、Android向けマルウエアの危険について論じるとき、二つのグループが意見を対立させるという。Android向け脅威について日々研究しているグループと、Android向けの脅威に関する情報は誇張だとするグループである(カスペルスキーラボは前者)。後者はこれまで見つかったマルウエアサンプルの数がWindows向けマルウエアに比べれば微々たるものであることを理由に挙げる。この議論の真の源は、多くの企業が2004年以来、7年にわたって「今年はモバイルマルウエアの年だ」と言い続けていることにある、とカスペルスキーラボは指摘している。2004年は、初めて「Cabir」と名付けられた携帯電話向けウイルスが検出された。CabirはSymbian搭載端末にBluetoothを介して伝染するウイルスだった。この検出によって、より多くの脅威が登場すると予測され、実際にそうなった。憂慮すべき数字ではなかった。カスペルスキーラボによれば、それは変わりつつある。統計データはAndroidがどんどん普及しいることを示している。Googleも、毎日50万台以上のAndroid端末がアクティベートされているとしている。これほど多くの新規ユーザーがいるとなれば、マルウエア作成者は間違いなくその後を追う。脅威を熱心に研究しているグループは、不正アプリケーションをインストールするユーザーや、密かにユーザー情報を外部に漏らす広告ネットワークを目の当たりにしている。タブレット端末の普及拡大を確認し、いたるところでAndroidのロゴを見かけている。アンチウイルス業界のベテランに尋ねれば、Windows向けマルウエアの初期を引き合いに出すだろう。アップデートの遅さ、ユーザーの認識の欠如、自分には影響がないだろうという考えはそっくり同じだ。カスペルスキーラボは、注目すべき点として、新たに登場する脅威の多くが、中国などに置かれている代替マーケットで見つかることを挙げている。実のところ、検出されたマルウエアはたいてい、米国をターゲットにした犯罪には実用的ではない。モバイルマルウエアのほとんどは、高額な料金がかかる番号にメッセージを送信するSMS型トロイの木馬で構成されているからだ。この手のマルウエアはロシアや中国で成功を収めているが、米国では二つの理由から流行しにくい。一つは、米国の有料番号の支払いは30日単位であるため、犯罪者はすぐに金銭を手に入れることができない。一つは、米国で有料番号を設定するには他の国の場合より多くの個人情報が必要になる。米国でカスペルスキーラボが確認するのは、ほとんどデータ窃盗目的のマルウエアだという。感染した経験のあるモバイルユーザーは米国にはわずかしかいない。ところが米国以外ではまったく事情が異なる。カスペルスキーラボは、マルウエアの精巧さと型が急速に進化するとともに、この様相が変わると見ている。モバイルマルウエア作成者は、金銭を集められる可能性になんらかの変化を見て取れば、確実にそれをものにする。【第13期】8回のセミナーでリーダーに求められる“コアスキル”を身につけ、180日間に渡り、講師のサポートの...IT法務リーダー養成講座システム開発・運用に関するもめ事、紛争が後を絶ちません。人手不足に悩み、働き方改革の必要性が問われるIT企業。日本初のデジタルバンク「みんなの銀行」誕生の軌跡に学ぶ「みんなの銀行」という日本初のデジタルバンクをつくった人たちの話です。「次の一手」が分かるDXの祭典。2023年6月に大阪で開催します。情報変更・解約6/1開催ウェビナー『ChatGPTは我々の仕事をいかに変えるのか?。