iOSに新たな脅威、Facebookを乗っ取りの可能性も

要は便利なほど、悪用される手口もその分増える訳です。
シンプルはいつまでたっても、やはり一番です。
Simple is always the best!
--------------
　米Appleのアプリ審査プロセスとアプリのサンドボックス化のおかげで、iOSユーザーはマルウェアに対して比較的安全が保たれている。だがイスラエルのセキュリティベンダー、Skycure Securityの最新報告書によれば、「iOSのプロファイル（別名mobileconfigファイル）の悪用で新手の危険な攻撃が浮上する恐れがある」という。※関連記事：AppleのiOSが攻撃されるのは時間の問題──IT専門家→http://techtarget.itmedia.co.jp/tt/news/1203/02/news02.html　このmobileconfigファイルは、携帯電話事業者や一部のモバイルアプリ、およびエンタープライズ向けモバイル端末管理（MDM）製品が、Wi-Fi、電子メール、VPN、APNといった重要なシステムレベルを設定するために合法的に利用されている。　Skycure Securityの報告書は、「これまでのところ、iOSユーザーはセキュリティに関してかなり良好な状態にある」と指摘する。Appleの厳格なアプリ審査により攻撃者が悪質なアプリをApp Storeに置くことが難しいためだ。また、Appleはシステムレベルの設定変更やリソースへのアクセス制限を行う「サンドボックス化」をアプリに施している。これにより、たとえ悪質なアプリがiOS端末に入り込んでもパーミッションや機能が制限される。　しかし、Skycure Securityの研究者は、「iOSモバイル端末上のmobileconfigファイルを改ざんすることにより、攻撃者がAppleのセキュリティモデルを迂回して、被害者に重大なダメージを与える可能性がある」と予想する。具体的には、リモートからモバイル端末を制御したり、ユーザーの行動を監視または操作したり、ユーザーセッションを乗っ取ったりされる可能性がある。被害者のトラフィック全てに攻撃者のサーバを経由させることができる他、ルート証明書を被害者の端末にインストールさせることもできるという。これにより、重要なデータを転送するためにほとんどのアプリケーションが使っている、SSL/TLSのセキュアな接続をシームレスに傍受して、暗号解除することが可能になる。「例えばFacebookやLinkedIn、電子メール、さらには銀行の口座情報を盗んでアカウント上で本人になりすまし、混乱を生じさせる可能性もある」という。●ユーザーをだます手口　では攻撃者は、どのようにしてこうした悪質なファイルを被害者にダウンロードさせるのか。　1つは「Web上で人気映画やテレビ番組を無料で見られる」と持ちかけ、それと引き換えに「端末を視聴用に設定するため」として、プロファイルをインストールさせる手口だ。「バッテリー性能向上」、あるいは単に「必見」などとうたった電子メールをユーザーに送り付け、インストールを促す手口も考えられる。　従って、悪質なmobileconfigファイルを使った攻撃を防ぐためには、「信頼できるWebサイトやアプリケーションのみからiOSプロファイルをインストールする」「ダウンロードにはhttpsで始まるセキュアなチャネルのみを使用する」「非認定mobileconfigに注意する」といった対策が必要だという。　Skycure Securityが現在開発しているモバイルファイアウォールでは、「mobileconfigファイルの正当性を確認することによって、この種の攻撃から端末を守るクラウドコンポーネント」を搭載する予定だ。また同社では、携帯電話事業者に対しても、店頭で顧客の端末にAPN設定をする際に使うmobileconfigファイルについて、暗号化されたチャネルを通じてのみダウンロードするよう促しているという。
http://headlines.yahoo.co.jp/hl?a=20130711-00000095-zdn_tt-sci