先日、4月19日にAndroid版Skypeに個人情報流出の脆弱性が発覚した。暗号化せずに保存しており、他のアプリケーションからそれらの情報を抜き取ることができてしまうという物。auではこの脆弱性はなかったとのこと。)検証用のアプリもすぐに開発され、一時はどうなるかと思ったのですが、翌日の4/20には修正版が公開されて、アップデートが促されました。セキュリティ部では「かっこいい」という感想も出ました。Marketで語られる「審査」の話を連想しました。今回、Skypeが脆弱性発覚翌日に修正版をリリースしました。Skypeが一晩で脆弱性修正版を開発し、リリースできる状態までこぎつけたことは、素晴らしいことです。これがiPhone(iOS)だとこうは行きません。Storeでアップデートを提供するのにも審査が必要だからだ。審査には時間がかかるので、今回のように翌日リリースというわけにはいかない。なると、その間にクラッカーがその脆弱性を悪用したプログラムを書くことができ、それを公開されると多くの人に影響が出る。Storeの審査ではねられて、ユーザーに届くことはないのではないか?と考える人もいるかも知れない。Storeの審査ではアプリの内容や非公開APIの使用の有無などで、見た目のユーザーの為とAppleの利益の為の審査しか行わない。バイナリレベルでの精査を行っているわけではない。なると、このような脆弱性を突くものはいくらでもごまかしが効くことになる。審査が全くないため、脆弱性修正版も、アップデートすれば、Googleのサーバーが配布処理が終わった段階でダウンロード可能になるため、まさに「即時」公開となる。今回のように特に緊急性が高い脆弱性が公になった場合、とてもセキュリティ的にうれしい話だ。いって一辺倒にAppleの審査をセキュリティ的に非難するわけではない。Appleも怪しい動作をするアプリをきっちりはじいていて、ユーザーに悪意のあるプログラムが届くのを防いでいる。Marketはどんなに危ないプログラムでも、審査がないためユーザーに簡単に届いてしまう。アプリマーケットでの審査の有無の議論は今後も展開されていくことになりそうです。コメントをキャンセルメールアドレスが公開されることはありません。※サイト上に表示された文字を入力してください。コメントデータの処理方法の詳細はこちらをご覧ください。今のところこのコメントが一番現状を表しているかなぁとおもうです。http://slashdot.jp/security/comments.pl?sid=509522&cid=1834206もうそろそろ「モバイルにおいては何がセキュリティなのか」を明確にして、そこが脅かされるにいたるまでのダイアグラム案をどっかにたたき台で作っていかにゃならんかもですね。クレカ方面でも安全基準ガイドラインなるものが出てきましたし。