76ものiOSアプリに中間者攻撃に対する脆弱性

先週にこんな記事がありました。
人気iOSアプリ76本に中間者攻撃の脆弱性、TLS通信傍受や改ざんの恐れ
調査内容や、リスクが低いと判断された33本は以下の元の記事に書かれています。
76 Popular Apps Confirmed Vulnerable to Silent Interception of TLS-Protected Data
元の記事をよく読むと、リスクが低いと判断されたものの中には、既に脆弱性が公開されているが対策されていないアプリも含まれます。つまり、リスクが低いものだけではないですが、リスクの存在を隠す必要がないアプリも含まれています。

幸いにして、その33本には僕が使っているアプリはありませんでした。日本で使用しているアプリは少なそうですから、おそらく皆さんが使っているのもあまりないと思われます。

問題は、中リスクや高リスクと判断された残りの46本。対策をとったりする時間のため、後日発表されることになっています。そのため、今時点では自分への影響はわかりません。

脆弱性の原因はあまりはっきりとは書かれていませんが、サーバー証明書の検証が甘く、偽造したサーバー証明書でも使えてしまい、中間者攻撃を許してしまうようです。また、どこから76本が抽出されたのかもわかりませんから、このリストに含まれていないこと=安全でもありません。

残念なのは、意外とTLSの意味をわからずに安直なコーディングをしてしまう方が多いようであること。Appleも表面的な検証だけでなく、今回の発見者のような評価をすべきでしょう。 それにしても、個人のレベルでは、これらをわかってアプリを使うのはほぼ不可能。開発者の方々にもっと意識していただくしかありません。そもそもiOSに限らないことですし。