パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

OS XからUSB経由でiOSデバイスを攻撃するマルウェアが発見される」記事へのコメント

  • 対症療法 (スコア:0, すばらしい洞察)

    by Anonymous Coward on 2014年11月08日 16時41分 (#2708181)

    なお、AppleではWireLurkerと特定されたアプリの実行をブロックしており、JailBreakされていないデバイスへのインストールに使用する署名も無効化しているという。

    毎度、Appleのセキュリティ問題への対応が甘いと感じます。
    対症療法に過ぎず、根本的な問題の解決はまだですね。

    とりあえず見つかったWireLukerをブロックしただけ。
    亜種が現れても防止はできず、「海賊版は使うな」と言うだけ。

    すべてのiOSは危険な状態にあると思います。
    モバイルなので、いつどこで仕込まれるかわかりません。
    USB接続するだけでトロイの木馬を誰でも仕掛けられるってことですよね。
    悪意の人物が自分のMacを使って、ターゲットのiOS機器に仕掛けるってことは十分考えられます。

    防ぐためにはひと時もiOSガジェットから目を離しちゃダメってことです。

    • by miyuri (33181) on 2014年11月08日 19時09分 (#2708218) 日記

      至ってマトモな対応をしているのに、無理矢理叩くなと。

      親コメント
      • by Anonymous Coward

        (1) マトモな対応=Jailbreakしていない端末に勝手にマルウェアを仕込めないように脆弱性を防ぐこと。

        (2) いい加減な対応=見つけたマルウェアを仕込むMac用マルウェアを削除するようにして、署名を無効にしただけ。

        どっちでしたか?

        (1)は今後も同様の攻撃を防ぐことができます。
        (2)は、今後出てくるであろう亜種は防げません。その都度同じ対症療法をすることになります。

        さあどっち?

        • by miyuri (33181) on 2014年11月09日 8時08分 (#2708355) 日記

          (2)を行い、コレはマトモな対応だった。

          せっかくだから。
          (1)を実現する方法を挙げてみなさい。
          例えば、デバイスの認証と経路暗号化をセットで強要すれば良いけど、それで良いのかっていう。

          親コメント
        • by Anonymous Coward

          >さあどっち?

          (1)ですね。
          そもそもJBされていない端末にこの手段を使うにはアタックする側がappleから
          証明書の発行を受ける必要がありますので継続的に行うのは最初から無理がある方法。

          • by Anonymous Coward

            Appleが無効化する前のデジタル署名はどうやって入れてたんでしょうか?
            はてさて。

            継続的ではなく、同じことを繰り返したらできてしまうんじゃないの?

            • by Anonymous Coward

              そうそう出来ないんじゃないですか?
              コスト高そうですしね。

    • by Anonymous Coward

      パスワードロックされていないiPhoneを盗まれたら何されても文句は言えないだろ。

      • by Anonymous Coward

        Androidは安全なのに?

        • by Anonymous Coward

          そりゃまぁiOSを攻撃するマルウェアだもんなぁ

        • by Anonymous Coward

          最近のAndroidはパスワードロックされていない状態で盗まれても安全なのか
          どのような対策をとっているか非常に関心がある

          • by Anonymous Coward

            そもそも公式以外のアプリの導入が可能なAndroidでは、こんな面倒な手口なんて必要ないよ。
            しかも中国では、米Googleへのアクセスに制限があるんだし
            不正サイトも沢山あるんじゃないかな。

            そもそも中国自体が情報盗んでいるって話もあるし(^^;

            • by Anonymous Coward

              例の香港デモでデモ参加者の情報を拾おうといろいろやってたみたいだしね。
              JBされていないiPhoneは情報が抜けなくて苦労してたみたいだから、今回の話も
              その一環としての苦肉の策じゃないかって気がしてる。

    • by Anonymous Coward

      海賊版ユーザを駆逐するためアプリを野放しにするのもいいんじゃね。
      公式サイトやApp Store以外からアプリを落とす機会がめっきり減ったなー。
      Vectorも最近のOSXに対応しているもの少ないし。

    • by Anonymous Coward

      USB接続するだけで??
      ”企業内でのiOSアプリ配信に使用する署名”が必要って書いてあるけど

      これって、エンタープライズ向けの機能で、Appleのサイトを経由しないで独自のアプリを入る機能だよね(自社内で使うアプリを入れる為)
      それを悪用して、野良企業のサイトを作って、そこからインストール出来るようにしてしまったと・・・これって普通じゃないよ。

      例えばWindowsでも、インターネット上の野良ドメインに参加してファイルサーバーから変なアプリをダウンロードする行為に近いんじゃないかな。
      確かにJailBreakはしてないけど・・そりゃ駄目だわwww

      • Re: (スコア:0, すばらしい洞察)

        by Anonymous Coward

        >USB接続するだけで??
        >”企業内でのiOSアプリ配信に使用する署名”が必要って書いてあるけど

        それも対症療法だよね。
        別の署名を使えばいいわけだ。

        悪意の人物が自分のMacを使うことを想定した場合、Appleのサイトを経由しない~なんて意味ないだろ。

        >例えばWindowsでも、インターネット上の野良ドメインに参加してファイルサーバーから変なアプリをダウンロードする行為に近いんじゃないかな。

        全然違うし、なんでここでWindowsを持ち出してくるのかサッパリ理解できない。

        悪意の攻撃者がターゲットのiPhoneにマルウェアを仕込もうと企んだとき、ターゲットが見てない瞬間がある程度の時間あれば、USBにつなげるだけでできてしまうという状況だろう。

        • by Anonymous Coward

          対症療法の何が悪いのかわからんが
          別の署名って簡単に手に入れられるの?
          そんなに簡単にエンタープライズ契約できるとは思わないが・・無償でもないだろうし、企業(団体?)の必要あるだろうと思うが
          これがないとUSBで接続しても感染しないってことだから、まずは不正利用されている契約を停止したってことだと思うけど。

          >ターゲットが見てない瞬間がある程度の時間あれば、USBにつなげるだけで
          そもそも直接触れるってことが前提かよ
          それありなら他にもいろいろな手口があると思うけどwww
          わざわざ不正な署名を手に入れてって手間をかけるかよwww

    • by Anonymous Coward

      > 悪意の人物が自分のMacを使って、

      Appleがどうこうという以前に、自分の所有物の管理にもう少し注意を払ったほうがよさそうですね。

    • by Anonymous Coward

      >「海賊版は使うな」と言うだけ。

      えーと、ユーザーが意識してインストールして、パスワードも全部入力して、このソフトはオンラインでダウンロードされたけど良いかな?って類のメッセージにも全部OKして動作するソフトの何を妨げろと言うんですかね...?
      ここまでOKなら、Winならたっぷりの悪用可能なAPI群を駆使して、ワンタイムパスワードクリアして銀行振り込みし放題、PCの中身もネットにばら撒き放題、世界中からリモートアクセスされ放題ですが...
      サンドバックの中でしか動かないアプリをiOSに転送するのが関の山って所がMacの健気なところですかね。

Stay hungry, Stay foolish. -- Steven Paul Jobs

処理中...