悪質なショートカットに注意してください

これらの iOS 自動化スクリプトの一部は悪意のある人々によって悪意のある目的で作成されたものであるため、ダウンロードするショートカットには特に注意する必要があります。

一例を挙げると、Codea 開発者の Simeon 氏は、ユーザーに対して無害な RAM 最適化ツールおよびクリーナーであるかのように見せかけた悪意のあるショートカットを偶然発見しました (iGen.fr 経由)。

実際には、連絡先、住所、デバイス上のファイルなど、様々な個人データを収集します。これらのデータはZIPファイルに密かにアーカイブされ、iMessage経由で攻撃者に送信されます。

https://twitter.com/twolivesleft/status/1088080309453676544

このショートカットは、動作の詳細がBase64エンコードによって難読化されていたため、この脆弱性を回避できました。「Appleに詳細をすべて開示し、修正してくれることを願っていますが、ショートカットが普及するほど、その悪用の可能性について人々が認識する必要性が高まります」と彼はTwitterに投稿しました。

メモリをクリーンアップすることを約束するアプリやショートカットをわざわざ使用すべきではないという事実（iOS はどのアプリよりもはるかに優れた RAM 管理機能を備えています）を除けば、平均的なユーザーが悪質なショートカットを回避するために何ができるのかは不明です。

チュートリアル: iCloud Driveのファイルを共有する方法

ショートカットの問題は、Appleが採用している強力なスクリプト言語にあります。これにより、ユーザーは複数の繰り返しタスクを1つのアクションにまとめることができます。Appleはユーザーが作成したショートカットをホストしていないため、App Storeアプリのように詳細な審査や精査を受けることはありません。

通常、ユーザーが作成したショートカットは、iCloud ファイル リンクを介して共有されます。

問題はそこにあります。「Appleがホストするショートカットへのリンクを受け取ったとき、自分が何を実行することに同意しているのかを、分別のあるユーザーが理解できるとは考えられません」とシミオン氏は言います。

Apple は、すべてのショートカットを App Store でホストすることを義務付け、コミュニティからの投稿をレビュー チームで審査できるようにすることで、この問題を軽減できます。

また、macOS Mojave で導入されたような新しいタイプの保護対策も導入され、ファイルシステムなどの低レベルの機能にアクセスするショートカットを禁止したり、ショートカットがデータを操作しようとするときに少なくともプロンプトを表示したりする可能性があります。

Mojave では、アプリまたはスクリプトが他のアプリを制御する場合、ユーザーは許可を与える必要があります (システム環境設定 → セキュリティとプライバシー → プライバシー → オートメーション)。

iOS でも同様のオプションがあれば良いと思います。

iGen は、ショートカット アプリ ([アクションを表示] をタップ) でショートカットが実際に何をするのかを詳しく調べてショートカットの信頼性をチェックするなどの追加対策も提案しました。

例えば、画像を切り抜くためのショートカットが突然メッセージへのアクセスを要求するようなら、警戒すべきです。さらに、iGenは信頼できない人やウェブサイトからショートカットをダウンロードしないよう警告しています。

ショートカット アプリで利用できる Apple がホストするスクリプトのギャラリーは確かに信頼できるソースですが、Reddit やソーシャル メディアで偶然見つける可能性のある、iCloud がホストするコミュニティ作成のスクリプトについてはどうでしょうか。

iGenerationは、Appleコミュニティでよく知られている人たちのショートカットリストと照らし合わせてショートカットを確認することを勧めています。そのようなリストの一つがSharecutsウェブサイトに掲載されています。

また、ShortcutsGallery Web サイトをチェックし、iDownloadBlog の Shortcuts Focus アーカイブにある最高のコミュニティ スクリプトのコレクションも参照してください。

Sharecuts Web サイトからダウンロードしたショートカットを必ず確認してください。

つまり、誰でも独自のショートカットを作成、ホスト、共有し、好きなようにパッケージ化（「写真からスクリーンショットをクリア」、「パフォーマンス オプティマイザー」など）しても何の影響もありません。

これを念頭に置いて、ダウンロードしたコミュニティ作成のショートカットをあまり信頼しないことは、iOS の自動化に関するプライバシーとセキュリティの懸念に対処するのに大いに役立ちます。

iOS デバイスでショートカットを使用していますか?

もしそうなら、あなたが Apple だったら信頼の問題をどう解決しますか?

ぜひコメント欄であなたの考えを述べてください。