Watch

SSL / TLS セキュリティバグから Mac を保護する

SSL / TLS セキュリティバグから Mac を保護する

Wi-Fiセキュリティ

Appleは先日、iPhone、iPad、iPod touchユーザー向けの重要なセキュリティアップデートを含むiOS 7.0.6をリリースしました。iOSデバイスをお持ちの方は、今すぐアップデートをインストールしてください。7.0.6のバグ修正の説明は当初曖昧でしたが、以下に詳述する詳細情報から、このセキュリティ問題がどれほど深刻であるか（あるいは深刻だったか）が明らかになります。つまり、適切な状況下では誰かがデータを傍受できる可能性があるということです。この問題はiOS側で修正されていますが、今のところOS Xにも同じセキュリティ上の欠陥が存在する（このバグはOS X 10.9.2で修正されています）。

はい、Appleは近い将来Macユーザー向けにバグ修正をリリースする予定ですので、すべてのMacユーザーはアップデートがリリースされたらすぐにインストールしてください。それまでの間、ご自身とMacを危険から守るために、いくつかの簡単な予防策を講じることができます。これは、現在発生しているOS XのSSL/TLSセキュリティバグによるトラブルを防ぐための一般的なアドバイスですが、これらの簡単なヒントは、ネットワークセキュリティプロトコル全般において実践すべき基本的なものです。上級ユーザーであれば、何をすべきか（あるいはすべきでないか）は既にご存知でしょうが、ネットワークの適切な運用方法に馴染みのない方は、新しいことを学べるかもしれません。

更新： Macユーザーは、OS X 10.9.2アップデートをダウンロードして、このセキュリティホールを完全に修正できます。ただし、以下のアドバイスは、一般的なWi-Fiおよびネットワークセキュリティに関して依然として役立ちます。

SSL/TLSセキュリティ欠陥からMacを守るための3つの簡単なヒント

  1. 信頼できないネットワークはすべて避けましょう。例えば、兄弟や母親、ルームメイトがNetflixをストリーミングしているせいでインターネットが遅い時に、時々接続してしまうような、謎のオープンWi-Fiルーターには接続しないでください。近所のカフェでパスワードを求められないルーターにも接続しないでください。職場、学校、自宅など、信頼できる安全なネットワークにのみ接続してください。これはいくら強調してもしすぎることはありませんが、マシンにパッチが適用されるまで、信頼できないワイヤレスネットワークには接続しないでください。
  2. GoToFail を使ってウェブブラウザをチェックし、ブラウザ自体に脆弱性があるかどうかを確認します。脆弱性が見つかった場合は、脆弱性が修正されるまで、一時的に別の更新されたウェブブラウザを使用することを検討してください（Chrome と Firefox の最新バージョンは、今のところ問題ないと言われています）。
  3. 信頼できるWi-FiネットワークでWPA2セキュリティが有効になっていることを確認してください。これは、ルーターへの接続時にパスワードを要求することを意味しますが、ネットワークがWPA2を使用しているかどうかは念のため確認してください。これだけでは保護やセキュリティが保証されるわけではありませんが、悪意のある人物がネットワークにアクセスする可能性は低くなります。パスワード不要のオープンなネットワークは、まるで無法地帯のようで、何でもありなので避けましょう。自宅にWi-Fiルーターをお持ちの方は、WEPは時代遅れで安全ではないことを覚えておいてください。Wi-Fiパスワードには必ずWPA2セキュリティを使用してください。

別のブラウザや保護されたネットワークを使用することは何もしないよりはましですが、保護されたネットワークを使用すること（そして可能な場合はデバイスにパッチを適用すること）の重要性は、いくら強調してもしすぎることはありません。その理由をより深く理解するために、CrowdStrikeはSSL/TLSの脆弱性を利用した理論的な攻撃を次のように説明しています。

この攻撃を成功させるには、攻撃者が中間者（MitM）ネットワーク接続を行える必要があります。これは、攻撃者が被害者と同じ有線または無線ネットワーク上に存在すれば可能です。iOSおよびOS Xプラットフォームの認証ロジックに欠陥があるため、攻撃者は最初の接続ハンドシェイク時にSSL/TLS検証ルーチンをバイパスできます。これにより、攻撃者はお気に入りのウェブメールプロバイダーなどの信頼できるリモートエンドポイントからのアクセスを装い、ユーザーと宛先サーバー間の暗号化トラフィックを完全に傍受し、通信中のデータを改ざんする能力（例えば、システムを制御するためのエクスプロイトを配信するなど）を獲得することが可能になります。

簡単に言えば、攻撃者があなたと同じネットワーク上にいる場合、あるいはあなたのコンピュータとリモートサーバーの間に侵入できる場合、この脆弱性を利用してメール、パスワード、銀行情報、通信など、基本的にあらゆるデータを傍受できる可能性があります。だからこそ、信頼できないネットワークを避けることが非常に重要であり、リスクを大幅に軽減できるのです。

興味のある方は、ImperialViolet でこのバグに関する追加の技術情報を読むことができます。また、Wired でより簡略化された詳細を読むことができます。

まとめると、iOSデバイスは信頼できるネットワークを使用して、今すぐiOS 7.0.6またはiOS 6.1.6にアップデートする必要があります。iOSユーザーは、信頼できないWi-Fiネットワークへの接続を積極的に忘れてください。適切なパッチをインストールするまでは、どのデバイスのユーザーも信頼できないネットワークに接続すべきではなく、信頼できないネットワークは避けた方が賢明でしょう。すべてのMacユーザーは、OS Xの適切なセキュリティアップデートがリリースされたらすぐにインストールしてください（リリースされ次第、改めて投稿します）。必ずしもそうとは限りませんが、このアドバイスに従うことで、何もしないよりは確実に安全になります。