2011新機種発表の楽しい次期にAndroid端末に問題が…。

今年は、プレイステーションネットワークのハッキングによる個人情報の漏洩。続いてiPhone OSとAndroid ＯＳの、位置情報を勝手に垂れ流し問題。そしてスクエア・エニックスの個人情報の漏洩と、個人情報の漏洩祭りな状態ですが、ついにスマートフォン陣営過去最大の被害にもなりかねない問題がAndroidのバージョン2.1／2.2／2.2.1／2.3.3／2.3.4／3.0を搭載した端末で、100％近く被害に合う可能性に晒されていることが発覚しました。これにより、docomoSPモード決済（話の筋から外れますが、今までSPモード決済できなかった「約○●◎円」も決済可能になっていますね。）以外の決済を利用中の場合の危険度は、急上昇になります。今回、各社のスマートフォン端末の選択肢が増殖して、皆さんの物欲を刺激しているのに、ちょっと購入を待ったほうがヨサゲです。確かに取り方によっては「3G回線を利用していれば問題ない。」ように見えますが、端末のハッキングで、わからないうちに3GをONなんて、現状の技術では考えられないこともないので、安心出来ないですよね


米GoogleがAndroid搭載端末で提供しているカレンダーアプリケーションや連絡先アプリケーションの情報が暗号化されないまま転送され、 他人に情報を傍受されたり、改ざんされたりする恐れがあることが明らかになったと、ドイツの研究者が発表した。Androidを搭載したスマートフォンの 99.7％がこの脆弱性の影響を受けるとしている。

　ドイツのウルム大学の研究者が公開した情報によると、この脆弱性はGoogle CalendarやGoogle Contactsなど「ClientLogin」という認証プロトコルを使っているアプリケーションで、暗号化されないHTTPを介して認証用トークン （authToken）がやり取りされている問題に起因する。これは公衆無線LANを介して他人が簡単に情報を傍受できてしまう状態だという。

 

　攻撃者が傍受したトークンを使えば、カレンダーや連絡先などの個人情報にフルアクセスできるほか、ユーザーに気付かれないまま情報を改ざんしたり、削除したりできてしまう。

 

　研究者は実際に、Androidのバージョン2.1／2.2／2.2.1／2.3.3／2.3.4／3.0を搭載した端末と、ネイティブの Google Calendar、Google ContactsおよびGalleryの各アプリケーションに対して攻撃を仕掛ける実験を実施した。その結果、Android 2.3.3までのバージョンでは、CalendarとContactsアプリケーションのリクエストがHTTPを介して暗号化されないまま送信されている ことが判明し、authToken攻撃に対して脆弱であることが分かった。

 

　Android 2.3.4以降のCalendarとContactsアプリケーションではセキュアなHTTS接続が使われるようになったが、WebアルバムPicasaの同期サービスでは依然としてHTTPが使われているという。

 

　この脆弱性は標準的なAndroidアプリケーションだけでなく、HTTP経由のClientLoginプロトコルを介してGoogleサービスにアクセスするデスクトップアプリケーションにも影響を及ぼすとしている。

 

　開発者側の対策としては、ClientLoginを使っているアプリケーションと同期サービスで直ちにHTTPSを経由するよう切り替えるか、よ りセキュアな認証サービスのOAuthに切り替えることを提言。ユーザー側ではAndroid 2.3.4へのアップデート、公衆無線LANに接続する際の自動同期設定を無効にするなどの対策を挙げている。