概念実証Webサイトは、iOS 16の「ロックダウンモード」の設計上の欠陥により、Webサイトが機能を有効にしたユーザーを識別できることを明らかにしています。ロックダウンモードはユーザーのセキュリティを保証しますが、プライバシーを危険にさらします。
政府の役人、ジャーナリスト、人権活動家などの洗練されたスパイウェアのターゲットであるユーザーを保護するために、Appleは今後のiOS 16、iPados 16、およびMacos Venturaの更新で「ロックダウンモード」を導入しました。 「極端な」保護モードと呼ばれるこの機能は、メッセージアプリの画像やリンク、JavaScriptコンパイル、Appleサービスなどを無効にするなど、有効にすると、特定の機能をアクティブにします。
プライバシーに焦点を当てた会社であるCrypteeは、ユーザーがロックダウンモード機能をオンまたはオフにしているかどうかを検出する概念実証Webサイトを作成しました。会社のCEOであり、プライバシー活動家のジョン・オズベイは、新しいプライバシーモードでは、ウェブサイトがモードを選択するユーザーを指紋ユーザーにできるようにするカスタムフォントなどの特定の機能を無効にするとマザーボードに説明しました。
「あなたが中国にいて、ロックダウンモードを使用しているとしましょう。現在、あなたが訪問するウェブサイトは、ロックダウンモードを使用していることを効果的に検出できるようになりました。彼らはあなたのIPアドレスも持っています。そのため、実際にこのIPアドレスを持つユーザーがロックダウンモードを使用していることを特定できます」 「これは、セキュリティとプライバシーのトレードオフです。[Apple]はセキュリティを選択しました。」
オズベイはまた、機能を有効にしたユーザーを検出することは非常に簡単で、バグではなくデザインの欠陥であるため、非常に簡単だと言いました。 Appleの従業員もCrypteeの発見を裏付けました。
「Webフォントは、利用可能なWeb攻撃面からフォントの解析を削除するために意図的に無効になっています」と「穴を開ける穴の攻撃は脅威モデルの一部であるため、サイトごとにWebフォントの例外があることが意味があるかどうかはわかりません。」 （散水穴の攻撃は、ハッカーがマルウェアを注入した既知のウェブサイトに被害者を誘惑する、またはマルウェアにサービスを提供する既知のウェブサイトの模倣者を誘惑するエクスプロイトです。）
レポート結論ユーザーの指紋と新しいモードを介してIPアドレスを見つけることは、最も脆弱なユーザーの背中に大規模なターゲットをペイントするのと同等であり、オンラインでユーザーの可視性を制限する唯一の方法は、誰もが群衆の中でロックダウンモードを有効にしてブレンドできるかどうかです。
「フィンガープリンティングに関しては、悲しいことに私たちが常に対処しなければならないトレードオフです。同じことはTORとTORブラウザにも当てはまります。彼らは、フィンガープリント能力を減らすために巨大な長さになりますが、あなたは、あなたが従うことの少ないフィンガープリントを持つものであるため、あなたは目立つことになります」
お勧めの読み取り：2023年に偽のショッピングWebサイトを識別する方法