ここ数日、岩の下で暮らしていたのでなければ（その場合は、まっすぐここに来たのは賢明な判断です）、100人を超える有名人の多くのプライベート写真が公開されたというニュースを、間違いなく耳にしているはずです。
このプライバシー侵害は iCloud と結びつけて語られていますが、iCloud だけに責任があるわけではありません。これらの写真は、さまざまな情報源からしばらく前から収集されていたことが明らかになっています。このような侵害は長期の懲役刑につながる傾向があり、今回も間違いなく同じことが起こるでしょう。しかし、iCloud からどれほど多くのデータが盗まれたのかを、多くの人が過小評価していると思います。
iCloud にサインイン
iCloud にはどんなデータが保存されているのか？
私たち Reincubate は、人々が自分のデータにアクセスできるようにすることが大好きです。私たち自身もデータ消失を経験し、それを取り戻せることがどれほど大切かを知っています。ここ数週間は、iCloud のデータを取得して解析するための API を開発し、公開してきました（御社でこの種のサービスが役立ちそうでしたら、ぜひご相談ください）。そのため、データを守る優れたセキュリティについても、Apple ID とパスワードの組み合わせが分かっていれば何ができるのかについても、ひととおり知っています。
認証情報と、iCloud 機能を備えた iPhone Backup Extractorがあれば、（今では誰もがよく知っているとおり）iPad や iPhone の写真を取り出せます。それだけでなく、SMS のデータ、連絡先、アプリ固有の情報（WhatsApp など）も、ほんの一例ですが、すべて取り出せます。さらに、バックアップには保存されていない、iPhone の位置情報の追跡や、書類、カレンダー、ブックマークなど iCloud に保存したファイルのダウンロードといった、ほかの iCloud の機能も利用できます。便利ですね。
スマートフォンを紛失したときに、赤ちゃんの写真や、仕事の連絡先、ふわふわのペットの動画を救い出せるのは、本当に素晴らしいことです。一方で、同じ情報が悪意のある第三者の手に渡るのは、まったく素晴らしいことではありません。
iPhone Backup Extractor による iCloud データへのアクセス
データはどのように流出したのか？
先ほど述べたとおり、このデータにアクセスするには、Apple ID（ユーザー名）とパスワードの組み合わせが必要です。ほかに方法はありません。（もちろん、世界トップクラスの暗号学者のチームが、最先端の暗号規格を破る新しい数学的手法を使っているなら話は別ですが、その場合はおそらく、もっと有意義なことに時間を使うでしょう。）大多数の人にとって、ユーザーの Apple ID を見つけるのは簡単ではありません。しかし、Apple ID は単なるメールアドレスであり、オンラインでの存在感によっては、メールアドレスを隠し続けるのが難しいことを思い出してください。多くの人はサービスごとに異なるパスワードを使いますが（そうすべきです）、異なるメールアドレスを使うことはまれです。そのため、あるサービスで使われているメールアドレスを見つければ、ほかのサービスでも同じだろうと推測するのは、それほど大きな飛躍ではありません。
そうなると残るのはパスワードで、これは推測またはリセットが可能です。パスワードをリセットするには、メールアカウントへのアクセスか、設定したさまざまな秘密の質問の答えを知っている必要があります。ただ、こうした情報を手に入れるのは難しいことがあります。一方、推測にはアカウント所有者に関する知識がまったく要りません。そのため、セキュリティを真剣に考える企業の当然の対応は、推測を難しくすることです。Apple アカウントをお持ちなら、パスワードが使用可能と見なされるために満たさなければならなかった数々のルールを覚えているかもしれません。これが、攻撃者にとってのハードルを上げるために使われる最初の手法です。パスワードを 123456 に設定する無防備なユーザーや、いつまでも自分では満たされない changeme のおかげでアクセスを許してしまうことは、もうありません。
「なるほど、（ある程度は）強いパスワードがあるとして、次は？」
問題の第2の部分は、何度も推測することです。この場合には、いくつかの優れた対策があります。ひとつは、何千回ものハッシュ反復を行うか、「低速な」アルゴリズムを使うことで、処理を遅くすることです（こちらは、このテーマをより詳しく論じた良い記事です。そういうものに興味があればですが）。これにより、1秒あたりに試行できる回数は減りますが、それ以上の対策も可能であり、多くの場合は実際に行われています。当社では、アカウントへのブルートフォース攻撃が成立しないよう、複数の安全対策を講じています。
導入できる技術はいくつもあります（たとえば、ログインの試行を監視し、不審な動きが見つかればアカウントを無効にするなど）。しかし今回の問題は、追加の保護がないログイン用の API が存在したことでした。攻撃者は、「iPhoneを探す」の APIではパスワードの試行回数に制限がないことを見つけ、よく使われるパスワードの一覧を片っ端から試して、どれかが通ることを期待すればよいだけでした。
それだけです。それほど簡単だったのです。
しかし、今は違います。この欠陥が明らかになると、Apple はすぐにパッチを適用しました。Apple は、第三者によるユーザーデータへの不正アクセスを防ぐために数多くの対策を講じていますが、Apple の iCloud であれ、ほかのアプリやサービスであれ、自分のデータを守る責任はあなた自身にもあります。
