iPhoneのSSL通信が傍受される恐れ、アップデートの早期適用を

公開 2011年07月28日 15時24分

更新 2011年07月28日 03時22分

[ITmedia]

印刷する

　米Appleが7月25日のソフトウェアアップデートで修正したiOSの脆弱性について、悪用されれば安全なはずのSSL通信を傍受されてしまう恐れがあり、できるだけ早くアップデートを適用した方がいいとセキュリティ研究者が促している。

　この問題に関連する脆弱性の存在を9年前から指摘していたという、セキュリティ研究者のモクシー・マーリンスパイク氏は、SSL／TLS通信に対する中間者攻撃のコンセプトを実証する目的で作った「sslsniff」というツールの更新版を25日に公開した。更新版には脆弱性が解決されていないiOS搭載端末を見つけ出して、通信を傍受できる機能が加わったという。

　Appleのセキュリティ情報では25日のアップデートについて、「証明書の検証に関する脆弱性」を修正するものと説明していた。しかしセキュリティ企業の英Sophosの研究者はこの問題について、「Appleの説明に書かれているよりもはるかに深刻」だと解説する。悪用された場合、iPhone、iPad、iPod touchのトラフィックを知らないうちに傍受され、SSLで保護されているはずの通信を読まれてしまう恐れがあるという。

　特にiPhoneやiPadで銀行やネット決済を利用している場合は、直ちにアップデートを導入した方がいいとSophosは助言する。公衆無線LANを頻繁に使う場合は特に危険が大きいという。

　ただし、第1世代と第2世代のiPod touchおよび3GSより前のiPhoneはAppleのアップデートの対象外となり、脆弱性を解決する手段はない。Sophosでは「セキュリティやプライバシーが必要とされる用途にこれら端末を使わない方がいい」と呼び掛けている。

印刷する