iCloudユーザーの皆様へ：Appleの2段階認証ではデータは保護されません

コンテンツにスキップ

ビジネスとIT

制限により、ユーザーはWiredの Mat Honan 氏を襲ったようなハッキングの被害に遭う可能性がある。

Appleの2段階認証の仕組みを示す図。出典：Apple

Appleが3月にiCloudサービスに追加した2段階認証によって、写真や連絡先などのデータが保護されていると思っているなら、考え直してください。モスクワのセキュリティ研究者によると、この対策はApple IDを使った不正購入を防ぐのに役立ちますが、保存されているファイルのセキュリティを強化するものではありません。

誤解のないよう明確に述べれば、iCloudのデータは、パスワードが強力で秘密に保たれている限り、依然として安全です。しかし、アカウントの認証情報が漏洩した場合（まさにAppleの2要素認証が想定している事態ですが）、攻撃者がiCloudアカウントに保存されているデータにアクセスすることを阻止することはできません。高度なパスワード解読ソフトウェアを開発するElcomSoftの研究者たちは、木曜日に公開したブログ記事でこの評価を行いました。

「Appleの現在の2要素認証の実装では、iOSのバックアップを新しい（信頼されていない）デバイスに復元することを阻止できません」と、ElcomSoftのCEOであるVladimir Katalov氏は書いています。「さらに、これはもっと大きな問題ですが、Appleの実装はiCloudのバックアップには適用されないため、ユーザーのApple IDとパスワードを知っている人なら誰でもiCloudに保存されている情報をダウンロードしてアクセスできてしまいます。これは簡単に確認できます。iCloudアカウントにログインするだけで、追加のログイン情報を求められることなく、そこに保存されているすべての情報にアクセスできます。」

彼は続けた。

ElcomSoft の見解では、セキュリティの観点から、これは正しい方法ではありません。iCloud は過去にも悪用されたことがあり (ノルウェーのティーンエイジャーが iCloud アカウントをハッキングした事件を参照)、今後も悪用されるでしょう。

公平を期すために言うと、Appleの2要素認証に関するFAQには、この新対策によってユーザーデータが保護されるとの記述や示唆は一切ありません。とはいえ、この新対策が導入されたのは、AmazonとAppleのオンラインサービスのセキュリティ上の抜け穴をハッカーが悪用し、Wired誌編集者マット・ホナン氏のデジタルライフを丸ごと消去した数ヶ月後のことでした。Appleが2要素認証を導入したタイミングを考えると、ハッカーが同様の脆弱性を悪用した場合に、同じ事態を防げると考える顧客がいても不思議ではありません。

ElcomSoftのカタロフ氏によると、この新たな対策はHonanを襲ったような攻撃を阻止できない可能性があるという。攻撃者がユーザーのiCloudパスワードをリセットすることは防げるが、アカウントに保存されているファイルのコピーや削除は防げない。アカウントをロックするパスワードが破られると（繰り返しになるが、まさにこれが2ファクタ認証が軽減するように設計されているシナリオだ）、攻撃者はバックアップ済みのiPhoneやiPadのデータを新しいデバイスに復元できる。Appleがこれまで言及していない水面下での保護対策を講じていない限り、攻撃者はファイルに対する相当な制御権を獲得し、永久に削除することもできるようになる。これは、昨年Honanを襲ったハッキング事件とよく似ている。

「私にとって、ここで問題なのは、Appleが2FA（二要素認証）ソリューションを提供していることです。これは、ユーザー（ファイル、文書など）のセキュリティをそれほど強化するものではありません。しかし、不正な金銭取引やアカウントへの変更からApple（そしてユーザー）を守るものです」と、ノルウェー・オスロのセキュリティコンサルタント、ペル・トーシェイム氏はArsへのメールで述べています。「人々はこのことを全く知らされておらず、2FAを有効にして機密文書や秘密文書をiCloudに保存すれば、セキュリティ対策は偽物となってしまいます。」

彼は続けた。

人々は2FAソリューションがデータ保護のためのセキュリティ強化に役立つと期待していますが、DropboxやGoogleとは対照的に、Appleは実際にはそうしていません。これは、大手有名サービスがこれまでに導入した2FAソリューションの中で最も「弱い」ものであり、人々の心に偽りのセキュリティ層を付け加えるだけであり、危険な結果をもたらす可能性があります。

利便性はセキュリティの敵（そしてその逆）

しかし、ユーザーはアカウントへのログインが簡単であることも期待しており、データにアクセスできないと激怒することがよくあります。iCloudアカウントに保存されているデータを保護する2要素認証が存在しないのは、おそらくAppleのエンジニアが、2要素認証を提供している他のサイトで見られるような抜け穴を避けるため、意図的にそうしたのだろうと考えられます。Googleは、多くのプログラム（例えばIMAP対応のメールクライアントやAdobeのLightroomアプリケーションなど）が現在、認証コードを受け付けないため、ユーザーデータを保護するためにアプリケーション固有のパスワードをよく使用しています。アプリケーション固有のパスワードは、攻撃者がGoogleユーザーのパスワードを入手した際に生じる被害を軽減するのに役立ちます。しかし、この保護には代償が伴います。

「Googleは万全を期すため、Googleの2段階認証は時に使いにくくなることがある」と、ライス大学コンピュータサイエンス学部のダン・ウォラック教授はArsに語った。「Googleはセキュリティ面で非常に優れた仕事をしてきたが、今や使い勝手の面で問題を抱えている」

Appleのエンジニアは、ユーザーの利便性を優先し、ある程度の保護を犠牲にすることで、誤った判断を下したようだ。iCloudユーザーがAppleのドキュメントをどれだけ綿密に読み、2段階認証がアカウントを保護する仕組みをどれだけテストしたかによって、この情報は新しい情報となるかそうでないかは分かれる。それでも、セキュリティ研究者たちはElcomSoftの分析は価値があると述べている。

「これは価値のある発見です」と、企業顧客に2要素認証サービスを提供するDuo SecurityのCTO、ジョン・オーバーハイド氏は述べた。「この新機能によってアカウントが100%保護されるわけではないことを、ユーザーが知って理解するのは良いことです。しかし、これは対処不可能な制限ではないと思います。公平を期すために言うと、これがそもそもこのモデルを保護するために意図されたものだったのかどうかは分かりません。」

ダン・グッディンの写真

ダン・グッドインはArs Technicaのシニアセキュリティエディターとして、マルウェア、コンピュータースパイ、ボットネット、ハードウェアハッキング、暗号化、パスワードなどの記事を担当しています。余暇にはガーデニング、料理、インディーズ音楽シーンの追及を楽しんでいます。サンフランシスコを拠点としています。MastodonのこちらとBlueskyのこちらでフォローしてください。SignalのDanArs.82までご連絡ください。

77件のコメント