あなたの Mac は、アプリを起動するたびに本当に Apple に電話をかけているのでしょうか?これは、Apple サーバーの速度が低下し、最新の Mac でアプリを開くのに長い時間がかかった 2020 年 10 月 12 日以降に飛び交った疑惑です。何が起こっているのか説明します。
[情報]これは、 macOS Big Sur と macOS Catalina の両方に適用されます。速度の低下とそれに伴うプライバシーの問題は、macOS Big Sur では新しいことではありません。[/info]
Mac アプリが開発者証明書で署名される理由
Mac では、Mac App Store または Web からダウンロードしたアプリは、開発者証明書で署名されます。アプリを起動するたびに、アプリが正規の開発者によって署名されていること、および改ざんされていないことを確認します。これはマルウェアから保護するのに役立ちます。
たとえば、Mozilla が Firefox を作成するとき、Firefox アプリケーション ファイルをコンパイルし、Mozilla の開発者証明書で署名します。これは、ファイルが正当なものであり、Mozilla によって作成されたものであることを証明する Mozilla の方法です。アプリケーション ファイルが後で改ざんされた場合、Mac は違いに気づきます。
これらの証明書は一定期間 (おそらく数年間) のみ有効ですが、早期に「取り消す」ことができます。たとえば、開発者が自社の証明書を使用して悪意のあるアプリに署名していることを Apple が発見した場合、Apple はその証明書を取り消します。 Mac では、その失効した証明書を使用するアプリは読み込まれません。
OCSP の説明: Mac Phone がホームに戻るのはなぜですか?
しかし、待ってください — Apple が Mac 上のアプリに関連付けられた証明書を取り消したかどうか、Mac はどのようにして知るのでしょうか?確認するために、Mac は Online Certificate Status Protocol (OCSP) と呼ばれるものを使用します。これは、Web ブラウザーが閲覧中に Web サイトの証明書を確認するためにも使用されます。
アプリを起動すると、Mac はその証明書に関する情報を Apple サーバー (ocsp.apple.com) に送信します。 Mac は、証明書が失効したかどうかをこの Apple サーバーに問い合わせます。まだ起動していない場合は、Mac がアプリを起動します。証明書が失効している場合、Mac はアプリを起動できません。
これはアプリを起動するたびに起こりますか?
Mac はこれらの応答を一定期間記憶します。 2020 年 11 月 12 日、応答は 5 分間キャッシュされました。つまり、アプリを起動して閉じ、4 分後に再度起動した場合、Mac は再度 Apple に証明書について問い合わせる必要はありません。ただし、アプリを起動して閉じ、6 分後に起動すると、Mac は再度 Apple のサーバーに問い合わせる必要があります。
何らかの理由で –おそらく macOS Big Sur の変更により –2020 年 11 月 12 日に Apple のサーバーが混雑し、非常に遅くなりました。Mac が辛抱強く待っていたため、応答が大幅に遅くなり、アプリのロードに長い時間がかかりました。 Apple の遅いサーバーからの応答。
このイベントの後、Apple の OSCP サーバーは Mac に証明書の有効性の応答を 12 時間記憶するように指示するようになりました。アプリを起動するたびに、Mac は家に電話して証明書について尋ねます。ただし、過去 12 時間以内に応答を受信していない限り、その場合はその必要はありません。 (ここでの期間に関する情報は、独立系アプリ開発者の Jeff Johnson から提供されたものです。)
Mac がオフラインの場合はどうなりますか?
OCSP チェックは、正常に失敗するように設計されています。オフラインの場合、Mac は何も通知せずにチェックをスキップし、アプリを通常どおり起動します。
Mac が ocsp.apple.com サーバーにアクセスできない場合も同様です。おそらくサーバー アドレス がルーター レベルでネットワーク上でブロックされ ているためです。 Mac がサーバーに接続できない場合は、チェックをスキップし、すぐにアプリを起動します。
2020年11月12日の問題は、MacはAppleのサーバーにアクセスできるものの、サーバー自体が遅いというものだった。しかし、Mac は黙って失敗してアプリの起動を続行するのではなく、応答を長い間待ちました。もしサーバーが完全にダウンしていたら誰も気付かなかったでしょう。
プライバシーリスクとは何ですか? Appleは何を学ぶのか?
ここで人々が提起したプライバシーに関する懸念がいくつかあります。それらは、ハッカーでありセキュリティ研究者である ジェフリー・ポールの状況に対する痛烈な見解 で詳しく説明されています。
- 証明書はアプリに関連付けられています : Mac が OCSP サーバーに接続すると、1 つのアプリ (場合によっては少数のアプリ) に関連付けられている可能性のある証明書について尋ねられます。技術的には、Mac は、どのアプリを起動したかを Apple に伝えません。たとえば、Firefox を起動すると、Apple は、あなたが Mozilla によって作成されたアプリを起動したことを認識します。それは Firefox か Thunderbird である可能性がありますが、Apple にはどちらかはわかりません。ただし、Tor プロジェクトによって署名されたアプリを起動すると、Apple は、あなたが Tor ブラウザ を開いたということをかなり正確に知ることができます。
- リクエストは IP アドレスと時刻に関連付けられます : もちろん、これらのリクエストは日付と時刻と IP アドレス に関連付けることができます。それがインターネットの仕組みです。あなたの IP アドレスは、特定の都市と州に関連付けられています。各 OCSP リクエストは、起動するアプリを作成した開発者、大まかな場所、アプリを起動した日時を Apple に伝えます。
- 暗号化の欠如はスヌーピングの可能性を意味します : OCSP プロトコルは 暗号化され ていません。 Apple がこの情報を取得するだけでなく、中間にいる人は誰でもこの情報を見ることができます。インターネット サービス プロバイダー、職場のネットワーク管理者、さらにはインターネット トラフィックを監視しているスパイ機関が、あなたと Apple の間の OSCP トラフィックを盗聴し、これらすべての詳細を知る可能性があります。これらのリクエストは、Akamai という名前のサードパーティの コンテンツ配信ネットワーク (CDN) も経由します。これにより速度が向上しますが、技術的に盗み見する可能性のある別の仲介者が追加されます。
[情報]お使いの Mac は、どのアプリを起動しているかを Apple に伝えていません。代わりに、Mac は、起動するアプリを作成した開発者を Apple に通知するだけです。もちろん、多くの開発者はアプリを 1 つだけ作成します。この技術的な違いは多くの場合、あまり意味がありません。[/info]
(覚えておいてください: キャッシュ動作の変更により、Mac はアプリを起動するたびに Apple に問い合わせなくなりました。これは 5 分ごとではなく 12 時間ごとにのみ行われます。)
あなたの Mac はなぜこのようなことをするのでしょうか?
ご想像のとおり、これはすべてセキュリティに関するものです。 Mac は iPad や iPhone よりもオープンなプラットフォームです。 Apple の Mac App Store 以外でも、どこからでもアプリをダウンロードできます。
Mac をマルウェアから保護するために、そう、 Mac マルウェアがより一般的になってきています が、Apple はこのセキュリティ チェックを実装しました。アプリの署名に使用された証明書が失効した場合、Mac はすぐに動作を開始し、そのアプリを開くことを拒否する可能性があります。これにより、Apple は Mac が既知の悪意のあるアプリを起動するのを阻止する権限が与えられます。
OCSP チェックをブロックできますか?
これらの OCSP チェックは、Mac がオフラインであるか、ocsp.apple.com サーバーに接続できない場合に、迅速かつ静かに失敗するように設計されています。
そのため、ブロックするのが簡単になります。Mac が ocsp.apple.com に接続できないようにするだけです。たとえば、多くの場合、ルーターでこのアドレスをブロックして、ネットワーク上のすべてのデバイスがそのアドレスに接続できないようにすることができます。
残念ながら、Big Sur では、Mac 上のソフトウェア レベルのファイアウォールが、Mac に組み込まれている trustd プロセスによるこのようなリモート サーバーへのアクセスをブロック できなくなった ようです。
ocsp.apple.com サーバーをブロックすると、Apple がアプリの開発者証明書を取り消しても、Mac はそれを認識できません。セキュリティ機能を無効にすることを選択しているため、Mac が危険にさらされる可能性があります。
Appleは何を言い、何を変えると約束しているのか?
Appleはその批判を聞いているようだ。 2020年11月16日、同社はWebサイトに Gatekeeperの「プライバシー保護」 に関する情報を追加した。
まず、Apple は、これらの証明書やマルウェア チェックのデータを、Apple が知っているユーザーに関する他のデータと組み合わせたことはないと述べています。同社は、個人がMacでどのアプリを起動しているかを追跡するためにこの情報を使用しないことを約束している。
第二に、Apple は、これらの証明書チェックは Apple ID や IP アドレス以外のデバイス固有の情報とは関連付けられていないと主張しています。 Appleは、これらのリクエストに関連するIPアドレスの記録を停止し、それらをAppleのログから削除すると述べた。
今後 1 年間、つまり 2021 年末までに、Apple は次のような変更を加える予定だと述べています。
- OCSP を暗号化プロトコルに置き換える : Apple は、開発者証明書をチェックするために、暗号化されていない OCSP システムを置き換える新しい暗号化プロトコルを作成すると述べています。これにより、中間者による覗き見が防止されます。
- 速度低下を阻止する : Apple は、「サーバー障害に対する強力な保護」も約束しています。言い換えれば、サーバーが再び速度を低下させたからといって、アプリの読み込みが遅くなることはありません。
- ユーザーに選択肢を提供する : Apple は、Mac ユーザーがこれらのセキュリティ保護をオフにして、失効した開発者証明書を Mac がチェックするのを防ぐことができると述べています。
全体として、これらの変更によりさまざまな問題が解消されます。第三者が中間を覗き見ることはできなくなります。 Mac は引き続き、ユーザーが開いたアプリを追跡するために使用できる Apple 情報を送信しますが、Apple はその情報をユーザーと関連付けないことを約束しています。 Apple はパフォーマンスの問題も解決するため、速度低下も解消されるはずです。
このより良いプロトコルとは何でしょうか?そうですね、Apple は OCSP を何に置き換えるかまだ発表していません。セキュリティ研究者の スコット・ヘルム氏 は、 CRLite のようなものがここで針を刺すのに役立つ可能性があると指摘しています。あなたの Mac が Apple から 1 つのファイルをダウンロードし、定期的に更新できるとしたらどうでしょうか。ファイルには、すべての証明書失効の圧縮リストが含まれます。アプリを起動するたびに Mac がファイルをチェックするため、ネットワーク チェックやプライバシーの問題が排除されます。
Mac がアプリのハッシュを Apple に送信することがあります
ちなみに、Mac は、開いたアプリのハッシュを Apple のサーバーに送信することがあります。これは、OCSP 署名チェックとは異なります。代わりに、ゲートキーパーの 公証 に関係します。
開発者はアプリを Apple にアップロードでき、Apple はアプリにマルウェアがないかチェックし、安全であると思われる場合は「公証」します。この公証チケット情報はアプリに「ステープル留め」できます。開発者がチケット情報をアプリ ファイルにステープル留めしない場合、Mac はそのアプリを初めて起動するときに Apple のサーバーを確認します。
これは、アプリの特定のバージョンを初めて起動するときにのみ発生します。アプリを開くたびに発生するわけではありません。また、開発者はホッチキス留めすることでオンラインチェックを不要にすることができます。
ここでは Mac が特別なわけではありません。たとえば、Windows 10 PC は、マルウェアをチェックするために、ダウンロードしたアプリに関するデータを Microsoft の SmartScreen サービス にアップロードすることがよくあります。ウイルス対策プログラムやその他のセキュリティ アプリケーションも、疑わしいアプリに関する情報をセキュリティ会社にアップロードする場合があります。
