HomeKitの重大な脆弱性を発見した開発者は、他人のデバイスを不正に制御できる脆弱性を発見し、その仕組みを説明した。また、 9to5Macが介入するまでAppleがこのバグを適切に修正できなかったことに不満を表明した。
カオス・ティアン氏は、10月28日に発見したその日にAppleに報告するという責任ある対応をしました。しかし、同氏は、この問題は11月中も解消されず、次のiOSリリースで事態はかえって悪化したと述べています…
これらのメッセージ不適切な処理問題は10月下旬に発見され、私が発見した翌日（10月28日）にAppleの製品セキュリティチームに開示されました。Appleの製品セキュリティチームから1通（10月30日）のメールを受け取り、11月中は調査中であると伝えられました。その間、エンジニアリングチームが問題を理解しているかどうかを確認するために、複数回（10月31日、11月2日、11月16日。さらに、11月27日にはFederighi氏に1通送信しました）メールを送信しましたが、返信はありませんでした。AppleがwatchOSサーバーの修正プログラムを適用したことを確認していたので、Appleは返信しないという典型的なAppleのやり方（こんにちは、Rader 🙃）だろうと思い、エンジニアリングチームはこの問題を十分に理解しているはずで、iOS 11.2で適切に修正されることを期待していました。しかし、その後iOS 11.2が正式にリリースされ、私のレポートに記載されていたいくつかの問題は修正されましたが、すべてのメッセージが適切に処理されていることを確認するための完全なセキュリティ監査は実施されず、代わりに攻撃全体をはるかに容易にする新しいメッセージが導入されました。
この脆弱性は2つの問題から構成されていたと彼は説明する。まず、HomeKitデバイスの固有識別子を誰も発見できないはずだったが、2つの別々のバグにより、ホームにアクセスする権限がなくても誰かがそれを解読することができた。
第二に、権限のない人がHomeKitデバイスにコマンドを送信した際、HomeKitは送信者を検証せず、コマンドをそのまま通過させてしまうという問題がありました。スマートロックを完全に制御できるという点を考えると、この問題は特に懸念すべきものでした。
技術的な説明はかなり長く、 Mediumの記事で読むことができます 。しかし、彼によると、より大きな問題は、Appleがこの問題を1ヶ月以上も認識していたにもかかわらず、修正しなかったことです。9to5Mac がAppleの広報にこの問題を報告して初めて、優先的に対応されるようになりました。
結局、9to5macの友人に連絡してみたところ、Appleの広報チャンネルの方が製品セキュリティ担当よりずっと対応が早いことが分かりました。彼らがApple広報に連絡してからAppleが一時的な修正を出すまで、全部で48時間以内に起こりました。最近はセキュリティ問題をTwitterで投げかける人が多いのも無理はありませんよね？なんて世の中なのでしょう。
Tian氏も 9to5Macも 、Appleが修正プログラムを公開するまで、この脆弱性の存在を公表していませんでした。サーバー側の修正プログラムは、iOS 11.2.1で完全な修正がリリースされるまで、一部の機能を制限していました。Tian氏は、修正後もAppleの製品セキュリティチームの要請により、一部の詳細情報を削除したと述べています。
Apple のニュースをもっと知りたい場合は、YouTube の 9to5Mac をご覧ください。
fastcin.com を Google ニュース フィードに追加します。
FTC: 収益を生み出す自動アフィリエイトリンクを使用しています。詳細はこちら。
