【IT】iPhoneにVPN接続を暗号化できないバグが発見される　簡単な回避策も同時に公開

1 ：すみれ ★：2020/03/27(金) 20:24:50 ID:jsvoX1YQ9.net

iPhoneのOSであるiOSに、VPNでの通信の暗号化が不完全になり、IPアドレスなどが漏えいする危険性のある不具合が存在することが判明しました。この問題は、記事作成時点ではAppleによる修正が行われていませんが、ごく簡単な操作により一定の効果が見込める回避策も見つかっています。

スイスのVPNプロバイダProtonVPNは2020年3月25日に、「VPNでのトラフィックの全部が暗号化できないようになるiOS 13.4のバグが検出されました」と報告しました。この不具合は少なくともiOS 13.3.1から存在しており、これによりVPNの暗号化をバイパスすることが可能となり、ユーザーのデータが公開されたりIPアドレスが漏えいしたりといった問題が生じるおそれがあるとのことです。

通常の場合、OSにより正常なVPN接続が確立されると、OSは既存の接続を切断してVPNを通じてインターネットにアクセスするようになります。しかし、今回の不具合により、数分から数時間もの間通常の通信が維持されてしまい、通信が正しく暗号化されなくなるおそれがあるとのこと。

ProtonVPNは「インターネット接続が暗号化されていない場合、ユーザーのデータが公開される可能性がありますが、これは現在ではまれです。より一般的な脅威はIPアドレスの漏えいです。これにより、攻撃を行おうとする者がIPアドレスを盗み見たり、接続先のサーバーがVPNサーバーではなくユーザーのIPアドレスを見たりできるようになってしまいます」と述べました。

以下の画像は、この不具合を検証するためにProtonVPNがネットワーク分析ソフトのWiresharkでiOSデバイスのトラフィックを解析した結果です。赤い丸で囲われたデバイス側のIPアドレスである10.0.2.109や、Appleが所有するIPアドレスである17.57.1??46.68が通信内容から簡単に見えてしまうことが分かります。

https://i.gzn.jp/img/2020/03/27/apple-ios-unpatched-bug-vpn-encrypting/ios-device-network-ip-wireshark-1200x921_m.png

深刻なのは、iOS側がVPNアプリによる既存のネットワーク接続の強制終了を許可していないため、ProtonVPNをはじめとするVPNプロバイダ側ではこの問題に対応することができない点です。従って、この不具合が根本的に解決されるにはApple側がiOSを修正するしかありません。ProtonVPNはすでにこの問題をAppleに通報していますが、記事作成時点ではAppleによる修正パッチなどは配信されていないとのことです。

ProtonVPNは「今回の不具合による影響を最も強く受けるのは、政府などによる監視や公民権の侵害が行われている国のユーザーです」とコメントしました。

一方で、ProtonVPNは簡単な操作で暗号化されていない通信を切断できる場合があることも突き止めています。その方法が以下。

1：VPNのサーバーに接続する。
2：機内モードをオンにする。
3：機内モードをオフにする。

この操作により既存のネットワークを切断してVPNに再接続できる可能性がありますが、確実だとは限らないとのこと。そのため、ProtonVPNは当面の間より確実なVPN常時接続を使用することを推奨しています。

https://i.gzn.jp/img/2020/03/27/apple-ios-unpatched-bug-vpn-encrypting/cyber-security-4072710_1280.jpg
https://gigazine.net/news/20200327-apple-ios-unpatched-bug-vpn-encrypting/

2 ：名無しさん＠１周年：2020/03/27(金) 20:25:05 ID:14ce5KUn0.net

>>1
　
▼武漢コロナ汚染国 世界トップ１０

○ 中国・・・・・・・８１,３４０人 ・死 ３,２９２ (？)
１ アメリカ・・・・・８５,７４９人 ・死 １,３０４
２ イタリア・・・・・８０,５８９人 ・死 ８,２１５
３ スペイン・・・・・６４,０５９人 ・死 ４,８５８
４ ドイツ・・・・・・４７,２７８人 ・死 ２８１
５ イラン・・・・・・３２,３３２人 ・死 ２,３７８
６ フランス・・・・・２９,１５５人 ・死 １,６９６
７ スイス・・・・・・１１,９５１人 ・死 １９７
８ イギリス・・・・・１１,６５８人 ・死 ５７８
９ 韓国・・・・・・・・９,３３２人 ・死 １３９
10 オランダ・・・・・・７,４３１人 ・死 ４３４

26 日本・・・・・・・・１,４０３人・ 死 ４７
ダイヤモンドＰ・・・・・・７１２人・ 死 １０


▼国内武漢コロナ 居住地トップ１０
【検査数２,５１７１　 退院３５９】

１ 東京都・・・・２７０人〜
２ 北海道・・・・１６５人
３ 大阪府・・・・１５９人
４ 愛知県・・・・１５７人
５ 兵庫県・・・・１２０人
６ 神奈川県・・・・９５人
７ 埼玉県・・・・・７１人
８ 千葉県・・・・・４７人
９ 京都府・・・・・３３人
10 新潟県・・・・・２８人
※大分県・・・・・・２５人
※和歌山県・・・・・１８人
※岐阜県・・・・・・１５人
　　　　　　　　

3 ：名無しさん＠１周年：2020/03/27(金) 20:26:34 ID:DQhiaaq40.net

回避策が迅速に公開されるのがマイクロソフトとの違いだな
今どきウインドウズ使ってるのは貧乏人しかいない

4 ：名無しさん＠１周年：2020/03/27(金) 20:26:38 ID:WYh3ktga0.net

きゃーこわい

5 ：名無しさん＠１周年：2020/03/27(金) 20:26:41 ID:QKre1EuT0.net

中国人ｶﾞｸﾌﾞﾙ

6 ：名無しさん＠１周年：2020/03/27(金) 20:27:18 ID:By5HATf60.net

追)無課金で数年続けていたソシャゲをやめて分かった、ただ1つの事実
http://special.toythieves.com/1584448066

7 ：名無しさん＠１周年：2020/03/27(金) 20:28:33 ID:U48gcpdB0.net

わざとだろ

8 ：名無しさん＠１周年：2020/03/27(金) 20:28:38 ID:TfyMFOMu0.net

わざとじゃないかな？

9 ：名無しさん＠１周年：2020/03/27(金) 20:29:03 ID:jZe0yMKJ0.net

あいぽんにそこまで期待してない
マカーはVPNなんてわからないしw

10 ：名無しさん＠１周年：2020/03/27(金) 20:29:05 ID:g2Mc3TYJ0.net

ちっ、ばれたか

11 ：暇人：2020/03/27(金) 20:30:34 ID:1S9Y4Vu60.net

VPN?　え〜とこれの仕様をガイドラインにしている国があるらしい・・
OS関係なく簡単に破れるよｗ

12 ：名無しさん＠１周年：2020/03/27(金) 20:38:20 ID:2UTCUxpy0.net

中国仕様の解除忘れか

13 ：名無しさん＠１周年：2020/03/27(金) 20:39:28 ID:HNmOjjTX0.net

VPN知らないとか在宅のど素人だろwwwwww

14 ：名無しさん＠１周年：2020/03/27(金) 20:41:02 ID:FWTxGL6m0.net

プライベートしゃなくてパブリックだったんだな

15 ：名無しさん＠１周年：2020/03/27(金) 20:41:47 ID:MrpQSJhN0.net

えっ普通はルータ間のトンネルモードだろ

16 ：名無しさん＠１周年：2020/03/27(金) 20:44:10 ID:I/ul3uMJ0.net

iPhoneでVPNって言うとAdblock系しか思いつかない人多いんじゃないかな

17 ：名無しさん＠１周年：2020/03/27(金) 20:48:41 ID:YtLGy2JG0.net

中共に忖度

18 ：名無しさん＠１周年：2020/03/27(金) 20:50:05 ID:vo6SYh3A0.net

>>13
在宅でもG SuiteなどはVPN使わないし、世界的には在宅ユースはVPNフリーが主流だよ。

19 ：名無しさん＠１周年：2020/03/27(金) 20:50:54 ID:fTaHpsgi0.net

これ仕様だろw

20 ：名無しさん＠１周年：2020/03/27(金) 20:52:42 ID:LTJYE4Mp0.net

>>9
VPNはWindowsより100倍使いやすいじゃんw

21 ：夏厨：2020/03/27(金) 21:12:56 ID:1q9+PfCq0.net

iOS10.2の漏れに隙はなかった。。

22 ：名無しさん＠１周年：2020/03/27(金) 21:17:51 ID:vo6SYh3A0.net

>>21
法人向けだが

iOS11に、パスコード忘れて再起動。
その後リモートからパスコード解除をMDMから送っても解除出来ないバグとかある。

結構最近のAppleは致命的な事やらかしてるので、10だから大丈夫とは言えない

23 ：名無しさん＠１周年：2020/03/27(金) 21:25:21.42 ID:c3n20bTU0.net

>>19
仕様だけど脆弱性だね

24 ：名無しさん＠１周年：2020/03/27(金) 21:47:39 ID:5+fAysjK0.net

自社製品を遠隔で文鎮に更新するスタイル

25 ：名無しさん＠１周年：2020/03/27(金) 21:52:07 ID:U0dmvLrR0.net

酷すぎるだろ

26 ：名無しさん＠１周年：2020/03/27(金) 21:55:14 ID:fcTAHk370.net

またアンドロイドの勝利か

27 ：名無しさん＠１周年：2020/03/27(金) 22:07:49 ID:aiekB3AZ0.net

俺iPhoneで職場のパソコン遠隔操作することがあるから
深刻。

28 ：名無しさん＠１周年：2020/03/27(金) 22:10:58 ID:qj41AD2c0.net

あーつまり
いつものように割れDLしてるPCで
たまたまiphoneテザリングしたった奴は足がついて捕まる寸法か
これはざま、、いやかわいそう

29 ：名無しさん＠１周年：2020/03/27(金) 22:14:36 ID:ywj4IaEJ0.net

スプリットトンネルか何かで漏れてるかと思いきやESPでIP丸見えでワロタ。パケットの中身が中身がどういう構造になってるかも見てみたい。

30 ：名無しさん＠１周年：2020/03/27(金) 22:58:49 ID:YscGHTnb0.net

奥さんデータ盗まれますよ

31 ：名無しさん＠１周年：2020/03/27(金) 23:19:33 ID:vfSjaG4o0.net

ssh派だよ俺は

32 ：名無しさん＠１周年：2020/03/27(金) 23:43:43 ID:Ugzj3cmC0.net

わざとだぞ