iPhoneの盗難デバイス保護機能に「重大な欠陥」か。ただし対策方法あり

多根清史

@bigburn Yahoo!ニュース 個人 2024/01/29 13:13

Share

• 
• 

先週、アップルはiOS 17.3をリリースした。その新機能の1つが「盗難デバイスの保護」機能であり、iPhoneがパスコードごと盗まれた場合にセキュリティー対策の壁をもう1枚追加するものだ。

このオプションを有効にすると、保存されたパスワードやクレジットカードへのアクセス等、一部の操作にはFace IDやTouch ID認証が必須となる（有効にする方法は、設定アプリ>[Face IDとパスコード]>[盗難デバイスの保護]をオンにする）。

また、iPhoneにひも付けられたApple IDのパスワード変更など、特に機密性の高い操作には「セキュリティ遅延機能」が及ぶ。こちらはFace IDまたはTouch IDで認証した後、その1時間後に再び生体認証が求められる仕組みだ。

しかし、早くも致命的な欠陥を発見したとテック系YouTuberが報告している。

そもそも「盗難デバイスの保護」機能機能は、The Wall Street JournalがレストランやバーでiPhone泥棒が増加しており、1件につき30万ドルもの被害があったと報じた後に発表された。

これら犯行の手口は、まず被害者がパスコードを入力するのを盗み見しておき、その後にiPhone本体を強奪する。さらにApple IDのパスワードをリセットし、「iPhoneを探す」をオフにして追跡やリモートのデータ消去を封じる。

それからiCloudキーチェーンに保存されたパスワードを使い、被害者を銀行アプリ等のアカウントから締め出し、預金や暗号通貨を引き出すというものだ。

だが新機能の「盗難デバイスの保護」機能を有効にすれば、iPhoneをパスコード込みで盗まれた後も、持ち主の顔や指なしに重要なデータにつきアクセス・改変できない。また、何らかの手段により生体認証を解除させた後も、1時間後にユーザー本人がいなければApple ID関連の重要な操作は不可となる。

ただし、これらはiPhoneが自宅や職場などよく知っている場所にある場合は適用外となる。今回の指摘は、それが抜け道になるということだ。

iOSは、ユーザーが訪れる頻度と時間に基づいて、「利用頻度の高い場所」を判定する。このデータは通常、Siriの提案や写真アプリの「思い出」などに使われるが、盗難デバイス保護にも使われているらしく、特定のバーやカフェでは無防備になる可能性があるとテック系YouTuberのThioJoe氏は述べている。

たとえばThioJoe氏のiPhoneでは、35の「利用頻度の高い場所」が表示。最も新しい場所は、週末に一度だけ、数時間しか訪れていない場所だったという。

この情報は、設定アプリ>[プライバシーとセキュリティ]>[位置情報サービス]>最下部にある[システムサービス]>[利用頻度の高い場所」から確認できる。実際、筆者の手元のiPhoneでも286件の記録があり、1時間程度いた場所でも表示されていた。

問題は、iPhoneが行き着けの飲食店や公共のたまり場を「よく知っている場所」と判定している場合に発生する。実際、米9to5Macのライターは、ほぼ毎日仕事をしているコーヒーショップ（利用頻度の高い場所）でFace ID認証に失敗した後、パスコードにより「盗難デバイスの保護」機能を無効にできたという。

つまり、「よく知っている場所」の判定は「利用頻度の高い場所」に基づいていると推測されるわけだ。すべての「利用頻度の高い場所」が「よく知っている場所」とイコールかどうか分からないが、少なくとも一部は重複しているようだ。

この「利用頻度の高い場所」は、一括してオンオフを切り替えられるのみで、ユーザーが編集することはできない。オフにすれば泥棒が生体認証なしにオンに戻すことはできないが、ユーザー本人が自宅でも2回のFace IDを要求されることになる。

今後アップルが「利用頻度の高い場所」を編集可能にするかどうかは不明だが、プライバシーと透明性を重視する方針からいえば、対応することが自然にも思われる。今後、iOS 17.4ベータで修正が加わるのか、続報を待ちたいところだ。