分析：先週、macOS Big Surのリリース中にサーバートラブルが発生し、デスクトップアプリが起動しなくなったことを受けて、AppleはMacアプリ実行時にその信頼性をチェックする方法を見直す予定だ。
アップルは月曜日、この障害を受けて生じたプライバシーに関する懸念に対処するため、Gatekeeperのサポートページを修正した。
Gatekeeperは、ユーザーがプログラムを実行する前に、アプリケーションの開発者証明書の有効性を確認するシステムユーティリティです。この検証プロセスでは、Appleのサーバーに接続して関連する証明書のステータスを確認します。サーバーがダウンした場合、開発者はソフトウェアパッケージを起動できなくなります。
週末前には、macOSの証明書チェックコードが、検査対象のアプリ開発者のデジタル指紋（ハッシュ）をプレーンテキストHTTP経由でAppleのバックエンドサーバーに送信していることが広く知られていました。つまり、Appleだけでなく、ネットワークパスを盗聴する者も、少なくともパブリックIPアドレスから、ユーザーが使用しているアプリケーションの種類を特定できるということです。
Appleは、このアプリのセキュリティチェックでは、ユーザーのパブリックIPアドレスは記録されているものの、Apple IDやデバイス識別子をインターネット上に送信することはないと強調しました。同社は今後、この情報を保持しないことを約束し、プライバシー保護のための追加対策を実施すると述べました。
Appleは「プライバシーをさらに保護するため、開発者ID証明書のチェックに関連するIPアドレスの記録を停止し、収集されたIPアドレスがログから削除されるようにします」と述べた。
シリコンバレーの巨大企業は、開発者ID証明書失効チェックに暗号化プロトコルを導入し、サーバーの耐障害性を高める対策を講じ、ユーザーにオプトアウトの仕組みを提供する計画も発表した。The Registerは、証明書チェックはAppleによって暗号的に署名されているため、送信中に改ざんされても検知されることはないものの、観察されることは可能だと理解している。そのため、Appleは今後、この通信チャネルを暗号化し、詮索好きな目から守ることになる。
先週、Appleの複数のサービスに障害が発生しました。Macの巨人であるAppleは、このインシデントに関する分析結果をまだ公表していませんが（クラウドサービスプロバイダーではよくあることですが）、Appleのシステムステータスページにはサービスの低下と停止が表示されていました。これらの問題は、Big Surアップデートを適用した際に旧モデルのMacBook Pro（2013～2014年モデル）が文鎮化したと報告されている問題とは別物です。
Apple が macOS Big Sur を世界にリリース – ドスンと音を立て、ガラスが割れる音と遠くのサイレンが響き渡る…
続きを読む
ダウンしたサービスの一つは、Appleのオンライン証明書ステータスプロトコル（OCSP）レスポンダで、前述の開発者証明書チェックを実行し、証明書が有効か失効しているかを明らかにします。これらの証明書の目的は、表向きはマルウェアの拡散を抑制することです。アプリ開発会社Lapcat Softwareを経営するジェフ・ジョンソン氏はブログ記事で、Appleは開発者がマルウェアを配布していることを発見した場合、その開発者のコード署名証明書を失効させ、その証明書で署名されたすべてのプログラムをmacOSで起動できないようにすることができると説明しています。
「残念ながら、開発者ID OCSPに関連するインターネット接続の問題が発生すると、Macアプリの起動が妨げられる可能性があります」とジョンソン氏は述べた。「木曜日の数時間、世界中のMacユーザーはインストールしたアプリの起動時に極端に遅い動作を体験しました。」
つまり、Mac がインターネット接続を失った場合、オペレーティング システムの証明書チェック コードが失敗してその間アプリケーションが実行できるようになるはずですが、ユーザーの Mac はインターネットに接続でき、ダウンしたのは Apple のサーバーであったため、OS はアプリケーションを起動できませんでした。
ハンロンの剃刀
さらに事態を複雑にしているのは、証明書チェックにプレーンテキストHTTPを使用していることです。つまり、ISPなど、ネットワークトラフィックにアクセスできる人なら誰でも、関連する開発者証明書を特定し、少なくとも関連アプリを推測できるということです。これはプライバシーの観点から理想的とは言えず、特にAppleが中国国外のユーザーに対してプライバシーを重視する企業として自らを売り込もうとしていることを考えるとなおさらです。
送信されたデータを調べた開発者たちは、それが特に機密情報ではないと主張しています。しかし、Appleが開発者ID証明書のチェックに関連するIPアドレスの記録を停止するという決定は、プライバシーに関する懸念が完全に想像上のものではないことを示しています。
さまざまな技術志向の人々が OCSP の速度低下を防ぎ、場合によってはそれを永続的にブロックする方法を検討した後、macOS Big Sur の API の変更により、ネットワーク フィルタリング アプリではそのタスクに対応できないという噂が広まりました。
Jamfの主席セキュリティ研究者であり、Objective-Seeの創設者でもあるパトリック・ウォードル氏は、Big SurではAppleがサードパーティ製のファイアウォールアプリとアプリベースのVPNに対し、Apple独自のアプリやOSプロセスからのトラフィックを迂回するネットワーク監視およびプロキシソフトウェアインターフェースの使用を義務付けていると指摘した。そのため、Apple独自のプログラムやOSコードからのデータパケットはネットワークに直接送信され、これらのファイアウォールアプリやVPNアプリを経由しない。
The Registerとの電話インタビューで、ウォードル氏は、これまで開発者がネットワーク監視に利用できた様々なカーネル・プログラミング・インターフェース（KPI）が利用できなくなったと説明した。公式に承認されたAPINEFilterDataProviderやでは、 NEAppProxyProviderObjective DevelopmentのLittle SnitchやObjective-SeeのLuLuといったサードパーティ製ファイアウォールアプリ、あるいはアプリベースのVPNがOCSPリクエストやその他のAppleの対象外プロセスをブロックすることができない。（システム全体をカバーするVPNはNETunnelProviderManagerAppleのトラフィックをカバーしていると報告されている。）
「macOSには、システムが正常に機能するために、Appleの様々なエンドポイントと通信する必要がある正当なプロセスが存在します」とウォードル氏は説明した。「Appleは、サードパーティ製のファイアウォールがインストールされていても、これらのプロセスが常にインターネットと通信できるようにすることを決定しました。」
ウォードル氏は、アップルのこうした行動の理由は理解しており、悪意や陰謀があるとは思っていないが、プライバシーとセキュリティについては依然として懸念があると述べた。
「自分のトラフィックがAppleのサーバーに送られることを望まないユーザーもいるだろう」と彼は述べ、諜報機関がネットワークトラフィックをどのように監視しているかに関する過去の報告書を指摘した。また、Appleのネットワークトラフィックをブロックできないことは、携帯電話端末にテザリングされているmacOSユーザーにとっては好ましくないかもしれないと指摘した。なぜなら、彼らはAppleのデータ通信料を負担しなければならないからだ。この問題は最近、Googleに対する訴訟に発展した。
ウォードル氏は、ファイアウォールアプリケーションを突破するためにアップルが自社のネットワークトラフィックに与えている免除を利用する、概念実証用のファイル流出エクスプロイトを開発したと述べた。
「それは問題だ」と彼は言った。「ファイアウォールは本来の役割を果たして、トラフィックを包括的に分析できるべきだと私は思う。」
ウォードル氏は、Appleがユーザビリティとセキュリティのバランスを取るという課題に直面していることに繰り返し共感を示した。しかし、クパチーノの巨人である同社は、そのアプローチがもたらす影響について十分に検討していないと指摘する。ウォードル氏は、コードインジェクション対策として、リモートプロセスのメモリ空間のスキャンを防止するためにAppleが最近行った変更を指摘した。これに対し、Lazarus Groupと呼ばれるハッカーたちは、macOSのセキュリティツールが悪意のあるコードをスキャンまたは捕捉できなくなったことを知りながら、メモリのみのペイロードを作成することで対抗した。
「Apple がオペレーティング システムをロックダウンすると、そのロックダウン プロセスによってサードパーティのセキュリティ ツールの機能の一部もロックアウトされるようです」と Wardle 氏は言う。
しかし、彼はAppleのOCSPプロセスの見直しの決定を支持し、厳しいスタートにもかかわらずBig Surを快適に運用していると述べた。「セキュリティとプライバシーの観点から言えば、これは依然として当然の選択です」と彼は述べた。「新しいオペレーティングシステムのリリースは常に困難を伴います。」®
