AppleはiOSとOS X向けの「FREAK Attack」パッチを来週リリースすると発表

Macbook iPad Air 2 iPhone 6 継続

「FREAK Attack」（RSA-EXPORT Keysに対するFactoring attack）と呼ばれる新たな脆弱性は、1990年代に遡るセキュリティ上の欠陥を悪用しており、Appleはまもなくパッチをリリースする予定だ。

現在、iPhoneメーカーはiOSとOS Xの修正プログラムを準備しており、来週のソフトウェアアップデートで利用可能になると、クパチーノの企業の広報担当者がiMoreに語った。

このセキュリティ上の欠陥により、Mac、iPhone、iPad、iPod touch、Android デバイスのユーザーは、安全な HTTPS 接続をより弱い暗号化方式にダウングレードする脆弱な Web サイトにアクセスする際に危険にさらされます。

クパチーノの同社は、OS X および iOS 用の Safari ブラウザにおける脆弱性を認識している。

脆弱な Web サイトには、AmEx、Airtel、Bloomberg、Business Insider、Groupon、Marriott など、大手ブランドやオンラインプロパティが多数含まれています。

この脆弱性は昨日公表されたが、Apple が問題に対処するために迅速に動いているのは明らかであり、これは実に心強い兆候だ。

「iOSとOS Xには修正プログラムがあり、来週のソフトウェアアップデートで利用可能になる予定です」とAppleの広報担当者はiMoreに語った。

この声明はRe/codeにも反映されており、Appleの広報担当ライアン・ジェームズ氏の発言を引用し、Appleは「脆弱性を修正するソフトウェアアップデートを開発しており、来週にはリリースされる予定だ」としている。

「来週」というのはおそらく月曜日です。

3月9日、Appleはサンフランシスコのイエルバブエナ芸術センターで開催される「Spring Forward」メディアイベントでWatchの詳細を発表する予定だ。

プレゼンテーションの直後に、Watch との互換性を有効にする iOS と OS X のソフトウェアアップデートがリリースされる予定です。

FREAKattack.com の Web サイトによると、この脆弱性の影響を受けるクライアントには、パッチを適用していない OpenSSL を使用する多くの Google および Apple デバイスだけでなく、多数の組み込みシステムや「脆弱な暗号化スイートを無効にせずにバックグラウンドで TLS を使用する他の多くのソフトウェア製品」も含まれます。

この脆弱性は昨日研究者によって明らかにされたにもかかわらず、どういうわけか10年以上も気づかれずにいた。

当時、米国政府はソフトウェアベンダーに対し、海外向け製品に512ビットの弱い暗号化を使用することを義務付けていました。強力な暗号化の輸出を防ぐことを目的としたこの政策は、1990年代後半まで施行されていました。

暗号化の欠陥の調査に協力したジョンズ・ホプキンス大学の暗号学者マシュー・D・グリーン氏はワシントン・ポスト紙に対し、政府がセキュリティを弱めることを義務付けると、ハッカーが利用できる複雑さが増すと語った。

「火に油を注ぐようなものです」とグリーン氏は言った。「これが事態を悪化させると言うのは、理由があるからです」

米国政府の規制は1990年代後半に解除されたが、弱い暗号化は「広く使用されているソフトウェアに組み込まれ、世界中に広まり、米国に戻ってきて、どうやら今年まで気付かれなかったようだ」と論文は述べている。

Appleは、特にiOS 8以降でデフォルトでデバイスの暗号化を強制し始めて以来、ユーザーのセキュリティに関する揺るぎない姿勢で政府関係者を激怒させている。

暗号化により、パスコードから生成された暗号化キーがなければ、デバイスに保存されているユーザーデータとファイルは読み取れなくなります。

Googleは当初、すべてのAndroid 5.0 Lollipopデバイスで暗号化を有効にすると約束していたが、最近になってその立場を変え、暗号化されたストレージは「Androidの将来のバージョン」で提供されると述べている。

ArsTechnica によると、Android 5.0 Lollipop でディスク暗号化を標準機能として有効にすると、Google 独自の Nexus ブランドのスマートフォンやタブレットでもシステムパフォーマンスが著しく低下するという。

「Nexus 6のレビューでは、新しいスマートフォンは特定のタスクにおいて旧型のNexus 5よりも遅くなる可能性があることが示され、AnandTechはパフォーマンスへの影響がどれほど深刻であるかを示す追加の数値を提供した」と同誌は指摘している。

モバイルデバイスの暗号化は、専用のハードウェアコンポーネントと高速フラッシュストレージに依存します。Appleは両方を備えています。iOSデバイスに搭載されているカスタム設計のプロセッサにより、Appleは市販のコンポーネントを使用する他社よりもソフトウェアとハードウェアの連携を強化でき、ユーザーのセキュリティを特に考慮して設計された方法で実現しています。

出典: iMore