パスワードを忘れた? アカウント作成
12543635 story
iOS

Apple、独自のルート証明書をインストールするiOSアプリをApp Storeから削除 24

ストーリー by headless
俺々 部門より
Appleはセキュリティーやプライバシーの問題があるとして、独自のルート証明書をインストールする複数のiOSアプリをApp Storeから削除したそうだ(AppleのサポートページV3.co.ukの記事The Registerの記事iMoreの記事)。

削除されたアプリのリストは公開されていないが、複数の広告ブロックアプリが含まれるようだ。iOS 9のSafariでは、広告ブロック拡張機能が利用できるが、Safari以外のアプリからは利用できない。そのため、独自のルート証明書をインストールしてVPNを使用することでSafari以外のアプリにも対応した広告ブロックアプリが公開されていた。

しかし、独自のルート証明書を使用していると中間者攻撃が懸念される。AppleではSSL/TLSのセキュリティーを低下させる可能性があるとしてルート証明書をインストールするアプリを削除する一方で、問題を修正して再度アプリが公開できるよう、開発者と協力していると説明している。

ちなみに、削除された広告ブロックアプリの一つ「Been Choice」の開発者によると、このアプリで問題になっているのはGoogle、Yahoo、Pinterestの各アプリで使用している広告ブロック方法のみだという。Appleは変更の必要な点を具体的に示しており、優先的な審査も行われるとのこと。そのためBeen Choiceは、これらのアプリに対する広告ブロック機能を除去して再度公開されるものとみられる。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • エンタープライズデプロイ用の特定アプリならともかく、なぜ一般向けにそんな仕様が認められたのだろう。
    そして広告ブロックアプリ以外にどんなものが出ていたのか

    • DiximなどのDTCP-IP対応の再生アプリは独自のルート証明書のインストールが必要でした。
      --
      HIRATA Yasuyuki
      親コメント
    • by Anonymous Coward

      というかそもそも論としてルート証明書をインストールするAPIが一般アプリから叩けてしまうこと自体が仰天ものだと思う

      • 直接インストールするAPIは無いはずなので、safariを起動してダウンロードさせているのだと思う。(safariがダウンロードした後、iOS自体がインストールの選択プロンプトを出す)
        --
        HIRATA Yasuyuki
        親コメント
        • by Anonymous Coward

          構成プロファイル(MVNOを使うときとかに必要になるやつ)をインストールさせるみたいだよ。
          とりあえずこの事件でわかったのは、そういうことができるならキャリアは工場出荷時の構成プロファイルでMITM証明書をインストールして「通信の最適化」とかもう間違いなくやるな、ということか

      • by Anonymous Coward

        Windowsデスクトップと大して変わりないじゃん。Windowsストアアプリはさすがにまともになってるが、デスクトップアプリがインストールしたルート証明書の影響を受けることに変わりはない。安全を追求するならWindows RTのようにデスクトップアプリは全廃するほかないが、残念ながらユーザーの支持を得られなかった。

  • 各アプリに広告ブロック機能があるみたい。典型的な悪文。

  • by Anonymous Coward on 2015年10月11日 23時36分 (#2898016)

    なぜ「独自のルート証明書を使用していると中間者攻撃が懸念される」かがわからない。

    • by Anonymous Coward on 2015年10月12日 2時38分 (#2898046)

      件の広告ブロックアプリは通信内容を途中経路で改竄します。
      しかし改竄するとhttpsでは改竄を検知してブラウザはエラーを表示し結果は表示されません。
      それを防ぐため独自のルート証明書をインストールさせ通信に使用する証明書を差し替えてして通信しています。

      それでは実際に途中経路で改竄された場合は誰が改竄を検知するのでしょうか?
      原理的には証明書を途中で差し替える前でしか行えないので広告ブロックアプリしか行えません。
      それらが正しく実装されていると言えるでしょうか?

      その他にも、広告ブロックアプリアプリを解析する事により独自の証明書で暗号化するために持っているサーバー証明書を得ることができてしまいます。
      その証明書を使って途中経路で改竄すると独自の証明書のインストールが行われている間は正しい証明書のチェックを行えません。

      そもそも悪意のあるアプリが独自のルート証明書をインストールした場合は言うまでもありませんね

      などの懸念があります。

      親コメント
      • by Anonymous Coward

        > 独自の証明書で暗号化するために持っているサーバー証明書を得ることができてしまいます。
        > その証明書を使って途中経路で改竄すると独自の証明書のインストールが行われている間は正しい証明書のチェックを行えません。
        サーバ証明書を得ることは簡単でしょうが、秘密鍵なくサーバ証明書だけを使って、
        どうやって途中経路で改ざんするんでしょうか。

        この仕組みの安全性は、独自の独自ルート証明書と秘密鍵をもって、
        SSLの復号と再暗号化を行う部分の機器のセキュリティ次第であり、
        この手法を使っていれば悪い、ということは一概には言えないと思います。
        逆に、この手法はそ

        • by Anonymous Coward

          >この手法はそもそも証明書が「独自ルート証明書」でなければ安全か、といえば決してそんなことは言えません。途中経路の機器が持っているのが公的証明書であっても、途中経路の機器の安全性はなんら担保されないためです。

          (広告ブロックの対象としたいURL)すべてにマッチする公的証明書は取得できないためそんなことはできません。

        • by Anonymous Coward

          iOS8まではうまく行っていた、独自ルート証明書+クライアント証明書
          による、Appacheアクセス制御(SSLVerifyClient require)が、
          iOS9になると、下記エラーが出て(xCodeのデバイスから取得)先に
          進まなくなっています。
          Safariでクライアント証明書必須の当該H/Pを見るだけで、下記エラーに
          なっています。

          : SecOSStatusWith error:[-34018] Error
          Domain=NSOSStatusErrorDomain Code=-34018
          "client has neither application-identifier
          nor keychain-access-groups entitlements"
          UserInfo={NSDescription=client has neither
          application-identifier nor keychain-access-g

          • by Anonymous Coward

            p12をベタに配ってないでiPhone構成ユーティリティでmobileconfig作れ

        • by Anonymous Coward

          サーバ証明書を得ることは簡単でしょうが、秘密鍵なくサーバ証明書だけを使って、
          どうやって途中経路で改ざんするんでしょうか。

          アプリ内で改竄して再証明している以上アプリに秘密鍵が含まれているはずです。

          このような、独自証明書を使って一度SSLを解読する方法は、Proxy利用するネットワーク製品や
          セキュリティ上、外部へのSSL通信を解析する必要のあるセキュリティ製品等では一般的に行われています。
          (もちろん、企業であれば管理者、またはユーザの同意あっての利用です。)

          それはそのセキュリティ機器が接続先の証明書をチェックしているはずです。していないのであれば欠陥品です。

          独自のルート証明書をインストールするアプリの中で
          ・ユーザー毎に外部から推測できない異なる秘密鍵

          • by Anonymous Coward

            アプリ内で改竄して再証明している以上アプリに秘密鍵が含まれているはずです。

            VPNを使っているので、このアプリ内に暗号鍵は無い筈です。

            • by Anonymous Coward

              広告ブロックアプリがローカルにVPNサーバーを立てているのでは?
              iOSデバイスを持ってないので確認できませんが、少なくともAndroid版のAdblock PlusはlocalhostのVPNサーバーの設定を追加します

              通信内容を改竄するサーバーを開発者が用意する方法だと、通信量を考えるととてもペイできるとは思えませんし、私は広告ブロックのためだけに管理者が改竄、盗聴し放題のサーバーを通すなんて嫌ですね

    • by Anonymous Coward

      Certificate pinningでググれ

      • by Anonymous Coward

        VPN利用のために発行されたルート証明書がなぜ中間者攻撃に使われるのかわからない。
        Certificate pinningって発行すべきでない認証局が発行した証明書を検知するためのものではない?

typodupeerror

目玉の数さえ十分あれば、どんなバグも深刻ではない -- Eric Raymond

読み込み中...