Apple IDのセキュリティ

IT

iCloudからセレブのヌードが大流出した事件。当初は『iPhoneを探す（Find My iPhone）』サービスに対する「スクリプトによるiCloudアカウントのブルートフォース攻撃」と言われていたが、どうやらApple ID のセキュリティ質問、通称「秘密の質問」を推測して繰り返した伝統なソーシャルアタックにより不正ログインに成功したらしい。

Apple ID のセキュリティ質問

セキュリティとApple IDより

そらそうだ、有名人ならば「出身地」や「母親の旧姓」なんて少し頑張れば調べが付く事がたくさんあるし、有名人でなくてもリアルな家族や友達ならば簡単に推測される可能性が高い。ソーシャルネットワーキングサービスが普及した昨今ではもはやセキュアな仕組みとはとても思えない。

個人的には裏をかいて全ての質問に"あかさたな"等と全く無関係な言葉を入れておいたりするのだが、Apple ID のセキュリティ質問のように複数の質問に対して同じ答えが禁止されるような余計なお世話をされるとそれも使えないので、まさにお手上げ。

しかも、アップルＩＤの「秘密の質問」を忘れるととんでもないことになる？など、侵入されてしまえば逆に本人が認証されなくなるダークサイドも知られていて、最近は「百害あって一利無し」な印象なので、アカウントから支払い情報を削除した後そのまま放置せざるを得なかった。

昨年になってようやくApple ID の 2 ステップ確認、通称「2段階認証」にも対応。日本では遅れていた2ステップ確認のSMS対応も今年になってようやくサポートされたので早速有効にしているのだが、実はiCloud推奨の2段階認証は呆れるぐらい簡単にスルーできる : ギズモード・ジャパンで記されているように2段階認証の対象は「Apple IDの管理」や「ストアでの購入」だけという事なので**「iCloudの情報保護には役に立たない」**らしい。5月にはiPadやiPhoneを乗っ取って解除に身代金を要求するもあったが、これも同じ手法で『iPhoneを探す（Find My iPhone）』に不正侵入されたのかもしれないな。

2年前のマット・ホーナン事件を契機に書かれた記事アップルとアマゾンのセキュリティはこんなにもザルだった : ギズモード・ジャパンで記されているように以前は「秘密の質問」が答えられなくても「電話でクレジットカード下4桁と請求先住所を言うだけでハッカーを本人認証してパスワード再発行してた」という、アップルならではとも言えるユニカルチャーの危うさを改めて思い出したが、他にも意外な落とし穴が残されているような気がしてしかたがない。

そうは言っても「iTunes Storeでの不正利用は防げる」だけでもので、Apple ID の 2 ステップ確認を有効にしない手は無い。特に、乗っ取った後の不正操作防止の観点から、実際に「2段階認証」設定ができるようになるまでには数日間の猶予が必要なので、熱が冷めないうちにやっておきたい。

参照

ギズモード・ジャパン http://www.gizmodo.jp/

ITmedia エンタープライズ http://www.itmedia.co.jp/enterprise/

マイナビニュース http://news.mynavi.jp/

WIRED.jp http://wired.jp/

Apple サポート 公式サイト http://www.apple.com/jp/support/