Apple、XcodeGhost問題を受けて中国国内のサーバーでXcodeを提供する計画 27
ストーリー by headless
速度 部門より
速度 部門より
改変版Xcode「XcodeGhost」により悪意のあるコードに感染したiOSアプリがApp Storeで多数発見された問題を受け、Appleでは中国国内のサーバーからXcodeをダウンロード可能にすることを計画しているそうだ(Neowinの記事、
Reutersの記事、
CNETの記事、
Sina.comの記事)。
XcodeGhostはXcodeに悪意のあるコードを含むオブジェクトファイルを追加してリパッケージングしたもの。中国では米国にあるAppleのサーバーへの接続速度が遅く、中国国内で共有されたXcodeをダウンロードすることが広く行われていることでXcodeGhostが広まったとみられている。Appleは開発者向けにXcodeGhostの確認方法を公開し、正規のソースからXcodeを入手することを開発者に強く求めている。ただし、中国ではダウンロード速度の問題が大きいため、中国国内のサーバーから直接Xcodeをダウンロードできるようにすることを計画しているとのことだ。
また、Appleの中国版Webサイトでは、XcodeGhostに関するQ&Aページも公開されている。Appleでは感染アプリが攻撃に使われた形跡は確認されていないと述べ、感染アプリが取得するのはアプリや一般的なシステム情報のみであり、個人情報が影響を受けることはないと説明している。FireEyeによれば、マルウェアが使用するC&Cサーバーは既に停止しているとのこと。
Q&Aページではユーザー数の多い感染アプリ上位25本を公表している。これらのアプリのうち16本は既に更新版が提供されており、9本は公開停止中。26位以下のアプリについては影響を受けるユーザーが大幅に少なくなるとのこと。ただし、Appleが確認した感染アプリの総数などについては、明らかにされていない。各セキュリティー企業の発表によれば、感染アプリの総数は数百本～数千本とされている。
9to5Macの記事では、中国以外のApp Storeでは感染アプリが公開されていなかったと述べているが、XcodeGhost修正版と明記している「CamScanner Free」は中国以外のApp Storeでも入手可能だ。Rovioは「Angry Birds 2」について中国、香港、マカオ、台湾のApp Storeで公開されていた中国語版ビルドのみが影響を受けると説明しているが、Angry Birds 2の中国語版は多国語版とは別のアプリIDが割り当てられていたため、中国語版のみ限定で感染していたアプリがどの程度あるのかは不明だ。
XcodeGhostはXcodeに悪意のあるコードを含むオブジェクトファイルを追加してリパッケージングしたもの。中国では米国にあるAppleのサーバーへの接続速度が遅く、中国国内で共有されたXcodeをダウンロードすることが広く行われていることでXcodeGhostが広まったとみられている。Appleは開発者向けにXcodeGhostの確認方法を公開し、正規のソースからXcodeを入手することを開発者に強く求めている。ただし、中国ではダウンロード速度の問題が大きいため、中国国内のサーバーから直接Xcodeをダウンロードできるようにすることを計画しているとのことだ。
また、Appleの中国版Webサイトでは、XcodeGhostに関するQ&Aページも公開されている。Appleでは感染アプリが攻撃に使われた形跡は確認されていないと述べ、感染アプリが取得するのはアプリや一般的なシステム情報のみであり、個人情報が影響を受けることはないと説明している。FireEyeによれば、マルウェアが使用するC&Cサーバーは既に停止しているとのこと。
Q&Aページではユーザー数の多い感染アプリ上位25本を公表している。これらのアプリのうち16本は既に更新版が提供されており、9本は公開停止中。26位以下のアプリについては影響を受けるユーザーが大幅に少なくなるとのこと。ただし、Appleが確認した感染アプリの総数などについては、明らかにされていない。各セキュリティー企業の発表によれば、感染アプリの総数は数百本～数千本とされている。
9to5Macの記事では、中国以外のApp Storeでは感染アプリが公開されていなかったと述べているが、XcodeGhost修正版と明記している「CamScanner Free」は中国以外のApp Storeでも入手可能だ。Rovioは「Angry Birds 2」について中国、香港、マカオ、台湾のApp Storeで公開されていた中国語版ビルドのみが影響を受けると説明しているが、Angry Birds 2の中国語版は多国語版とは別のアプリIDが割り当てられていたため、中国語版のみ限定で感染していたアプリがどの程度あるのかは不明だ。
ひっかかってた (スコア:2)
CamScanner Free入れています。ほぼ起動したことはない（数年で2〜3回）けど、気味悪いからさっさとアップデートしよう…
Re:ひっかかってた (スコア:2)
いやいや、そこはアップデートせずアンインストールしましょうよ！
期待してたのに (スコア:0)
Appleのことだから、MacOS XもアプリのインストールをApp Store経由に制限してくるかと思ってた。
10.5以降のMacOS Xはさわってないので、現状でもApp Storeオンリーだったらごめん。
Re: (スコア:0)
Unityでも同じようなことがおこなわれていたという話も。
Re: (スコア:0)
それやっちゃうとPhotoshopなんかも使えなくなるし、さすがのAppleでも無理だろう。
Macのセキュリティの設定として、
1. AppStoreのアプリのみ実行可能
2. AppStoreと署名付きの外部アプリのみ実行可能
3. 無制限に実行可能
の3つから選べる。だいたい2でいいと思うけど、LibreOfficeなんかは3じゃないとダメぽ。
Re: (スコア:0)
つまりLibreOfficeは署名ついてないってこと？
それはそれで問題なような。
古いアプリはバイナリのハッシュ値を判定してインストール可否を決め、新しいアプリは署名なしの場合はインストールできないようにすればいいのに。
それやっちゃうとPhotoshopなんかも使えなくなるし
Appleなら、よくも悪くもやってくれる！と信じていたのに。
Re:期待してたのに (スコア:3)
署名自体はかなり前（10.3あたり?）導入されていたので基本署名済みの前提でいいはず。署名の詳細については忘れたので中国国内の怪しげな認証局でも普通に通すのかも。
それやっちゃうとPhotoshopなんかも使えなくなるし
Appleなら、よくも悪くもやってくれる！
Premiereとバンドルで高価なElementsの機能限定版 [apple.com]（クラウド絡みか何かの制限事項があったはず）だけなんてのはさすがに勘弁…
#それにしてもMac App Storeで"photoshop"と検索して出てくる170本のうちAdobe製のアプリがたった2本（もうひとつはRevel）だけなんて…
Re: (スコア:0)
Gatekeeperが導入されたとき署名の付け方が変わったのでそこまで楽観できない。
Re: (スコア:0)
でも今回の問題って「2. AppStoreと署名付きの外部アプリのみ実行可能」になってれば大丈夫だったんじゃあ？という気がする
みんな3にしてるんだろうか
Re:期待してたのに (スコア:2, おもしろおかしい)
Xcodeをどうしても使いたくて、でも1とか2では使えない状況があったら、3を選んじゃう人はいるでしょう。
そこで3ではなくて死を選べる人ばかりじゃないと思います。
Re:期待してたのに (スコア:1)
2で使えなかったときにおかしいと思わなくちゃダメでしょ。一般ユーザーではなく開発者なんだし
Re:期待してたのに (スコア:1)
おかしいと思うだけで選ばずにいられるなら幸せですよねっていう。
Re: (スコア:0)
3ではなく死を選ぶ人がここにいるようだ。
Re: (スコア:0)
開発者だから3、というぬるま湯につかっていることも考えられなくもなく。
Re:期待してたのに (スコア:2)
その「開発者だから」ってのがよく分からないんですが、飛ぶ鳥を落とす勢いで平均年収が日本の数分の一に迫る中国で
Macを買い、iOS Developer Program年会費を払い、必要ならデバッグ用実機も買う人っていうのは、やはり本業では
ない気楽に構えた知識と経験のある趣味のプログラマなんでしょうかね。まあ、きっとそうですよね。
Re: (スコア:0)
あのWeChatでも起きたことだし、そもそも中国での考え方が常識とはかけ離れてるんだろうよ。
WeChatほどの大企業なら、社内で１つ公式にダウンロードしといて、それを仲間内で回すなりすればよかったのに。
なんで外部の怪しいとこからダウンロードしてインストールしちゃったのか。
まぁそれが普通になってしまってるんだろうなぁ。
Re: (スコア:0)
国も人も世界の一般常識で語れないよ、中国と朝鮮だけはマジで。
Re: (スコア:0)
XcodeってMac App Store配布だろ? ローカルで回そうとしたらクラック必要なんじゃね?
開発機全てでApple ID打ち込んでMASからダウンロードだと思う。Windowsじゃないんで。
Windowsストアアプリと一緒。
Re: (スコア:0)
>まぁそれが普通になってしまってるんだろうなぁ。
まさにこれです。
あちらで仕事してみれば分かりますが常識が違うだけです。
Re: (スコア:0)
ストアを通さずAppleのサイトから直接ダウンロードもできる。
Re: (スコア:0)
> その「開発者だから」ってのがよく分からないんですが
自分でビルドしたアプリをローカルでテストするにあたって一々署名できるのだろうかっていう問題が。
そんなテストビルド毎に自動で振れる署名でいいなら署名付きのみって制限は余り意味がない。
Re:期待してたのに (スコア:2)
ありますよ。他人のバイナリは持ち込めないので。
Re: (スコア:0)
ああ、ローカルの署名をローカルにインストールすればチェック有効のまま運用できますね。
Re:期待してたのに (スコア:1)
「世界の一般常識」ねえ。
水道の蛇口を捻れば水が出るのは世界の一般常識ですか？
Re:期待してたのに (スコア:2)
根なしの自己署名じゃなくて、プラットフォームのCAから対象アカウントと機器を指定した証明書が出てくるのがふつう。持ち出せませんし持ち込めませんし勝手には作れません。
Re: (スコア:0)
ダメだと思う開発者ばかりなら良かったのにねぇ、というのが今回の事例でしょ。
XCodeが欲しいけど入手困難な状況で、「パチモンだけどだいたい同じことができる」と言われたら飛びついてしまうようなのもいるってこと。
Re: (スコア:0)
※死(し) ４と死を掛けた90氏の会心のジョーク。開発者は死ぬ。