先週、アップルはiOS 17.3をリリースした。その新機能の1つが「盗難デバイスの保護」機能であり、iPhoneがパスコードごと盗まれた場合にセキュリティー対策の壁をもう1枚追加するものだ。

このオプションを有効にすると、保存されたパスワードやクレジットカードへのアクセス等、一部の操作にはFace IDやTouch ID認証が必須となる（有効にする方法は、設定アプリ>[Face IDとパスコード]>[盗難デバイスの保護]をオンにする）。

また、iPhoneにひも付けられたApple IDのパスワード変更など、特に機密性の高い操作には「セキュリティ遅延機能」が及ぶ。こちらはFace IDまたはTouch IDで認証した後、その1時間後に再び生体認証が求められる仕組みだ。

しかし、この機能について、早くも致命的な欠陥を発見したとテック系YouTuberが報告している。

そもそも「盗難デバイスの保護」は、The Wall Street JournalがレストランやバーでiPhone泥棒が増加しており、1件につき30万ドルもの被害があったと報じられた後に発表された。

これら犯行の手口は、まず被害者がパスコードを入力するのを盗み見しておき、その後にiPhone本体を強奪する。さらにApple IDのパスワードをリセットし、「iPhoneを探す」をオフにして追跡やリモートのデータ消去を封じる。

それからiCloudキーチェーンに保存されたパスワードを使い、被害者を銀行アプリ等のアカウントから締め出し、預金や暗号通貨を引き出すというものだ。

だが、新機能の「盗難デバイスの保護」機能を有効にすれば、iPhoneをパスコード込みで盗まれた後も、持ち主の顔や指なしに重要なデータにつきアクセス・改変できない。また、何らかの手段により生体認証を解除させた後も、1時間後にユーザー本人がいなければ、Apple ID関連の重要な操作は不可となる。

ただしこれらは、iPhoneが自宅や職場など、よく知っている場所にある場合は適用外となる。今回の指摘は、それが抜け道になるということだ。

iOSは、ユーザーが訪れる頻度と時間に基づき、「利用頻度の高い場所」を判定する。このデータは通常、Siriの提案や写真アプリの「思い出」などに使われるが、盗難デバイス保護にも使われているらしく、特定のバーやカフェでは無防備になる可能性があるとテック系YouTuberのThioJoe氏は述べている。

たとえばThioJoe氏のiPhoneでは、35の「利用頻度の高い場所」が表示された。最も新しい場所は、週末に一度だけ、数時間しか訪れていない場所だったという。

この情報は、設定アプリ[プライバシーとセキュリティ][位置情報サービス]最下部にある[システムサービス][利用頻度の高い場所]から確認できる。実際、手元のiPhoneでも286件の記録があり、1時間程度いた場所でも表示されていた。

問題は、iPhoneが行き着けの飲食店や公共のたまり場を「よく知っている場所」と判定している場合に発生する。実際、米9to5Macのライターは、ほぼ毎日仕事をしているコーヒーショップ（利用頻度の高い場所）でFace ID認証に失敗した後、パスコードにより「盗難デバイスの保護」機能を無効にできたという。

つまり、「よく知っている場所」の判定は「利用頻度の高い場所」に基づいていると推測されるわけだ。すべての「利用頻度の高い場所」が「よく知っている場所」とイコールかどうか分からないが、少なくとも一部は重複しているようだ。

この「利用頻度の高い場所」は、一括してオンオフを切り替えられるだけで、ユーザーが編集することはできない。オフにすれば泥棒が生体認証なしにオンに戻すことはできないが、ユーザー本人が自宅でも2回のFace IDを要求されることになる。

今後アップルが「利用頻度の高い場所」を編集可能にするかどうかは不明だが、プライバシーと透明性を重視する方針からいえば、対応することが自然にも思われる。今後、iOS 17.4ベータで修正が加わるのか、続報を待ちたいところだ。

Source: ThioJoe（X）
via: 9to5Mac