SaurikはCydia Impactorの代替ソフト「AppSigner」の使用を警告、安全ではないと主張

セミテザード方式の脱獄を経験したことがあるなら、Cydia Impactor はご存知でしょう。Saurik (Jay Freeman) が開発したこのマルチプラットフォームアプリケーションは、iPhone や iPad にアプリ、特に Electra や unc0ver といった脱獄系アプリをサイドロードできるように設計されています。

最近、Cydia Impactor の Web ベースの代替手段である AppSigner が /r/jailbreak で注目を集めており、予想どおり、脱獄コミュニティの著名なメンバーが、なぜAppSigner を使用すべきではないのかを声高に主張しています。

この意見を最初に表明したのはSaurik氏自身で、/r/jailbreakスレッドのコメント欄で、WebベースのAppSignerは安全ではなく、プライバシーを重視するユーザーは使用すべきではないと述べました。全文は以下をご覧ください。

回答: 「…Apple の認証情報は Apple にのみ直接送信されます。」

つまり、これはあり得ないことです（クロスオリジン制限のため）。これらの識別子を自分のサーバーに送り、サーバーから間接的にAppleに送信しているはずです。Impactorをこのような機能のために開発すればよかったのですが（そうすればずっと簡単だったでしょう）、

…しかし私はそうしませんでした。なぜなら、人々の Apple アカウント情報があなたのサーバーのセキュリティと同じ程度にしか安全ではないという考え (あなたが自分で何も保存していないことを人々が信頼すべきかどうかに関係なく) は、これほど極めて重要な情報 (これは支払い情報よりもはるかに機密性が高い) には受け入れられないからです。

つまり、私があなたのサーバー/アプリをハッキングした場合（どうやら、SQL Server インスタンスを含むすべてのポートにファイアウォールのない IIS 上で実行される何らかの ASP.NET アプリで、これはまったく信頼できません）、これらのパスワードがすべて流れるのを監視できるということです…

…または、この Web サイトは SSL を使用していないので、私がたまたまユーザーと同じネットワーク上にいる場合 (つまり、これらすべてのパスワードは、インターネット全体だけでなくローカルネットワーク上でもプレーンテキストで送信されます。はい、この Web サイトがこのように動作することを確認しました。FUD を唱えているわけではありません)。

真剣に言うと、このサイトはユーザーに要求していることに対して非常に安全ではありません。使用しないでください。(そして本当に、率直に言って、このようなことはこのサブレディットで許可されるべきではありません。誤った情報や不正な情報を防ぐルールをここで確立できると感じたことが、私がそれをあきらめた主な理由の 1 つです)。

ハッカーでありunc0verの主任開発者であるPwn20wndはTwitterでSaurikの声明を支持し、ユーザーは「それに近づかないように」すべきだと付け加えた。