セキュリティソフトの大手カスペルスキーラボが作っているものですが、これについて少し考えたことがあったので。
各所でオススメされていますので興味がある場合は辿って下さい。
- Mac向けマルウェア「Flashback」感染をチェックするサイトが公開（ネタフル）
- Kasperskyが開発したアンチFlashbackツール『Flashfake Removal Tool』（Macの手書き説明書）
ですが、個人的にはあまりオススメすべきものではないと感じています。
実際に行ってみるとこんな感じです。
このサイトの概要はMacの「システム情報」で見ることができる「ハードウェアUUID」を真ん中のテキストボックスに入力してチェックを行うというものです。
Flashbackに感染するとハードウェアUUIDが漏洩するため、所謂ボットネットからのリクエストにあるハードウェアUUIDの一覧と突き合わせてチェックを行うのだと思います。
特にこのサイトについて問題があるとか、危険であると言う気は全く無いのですが、これをするように他の人に勧めたり、あるいは自分で積極的にすぐやってみる、ということには抵抗があります。多くの人がそうだとは思いますが。
１．マルウェアに感染しているのではないか、と心配する心理をついて行動させようとすることへの違和感
マルウェアに感染しているかどうかは心配なものです。個人的にもこの数週間、Mac関連、IT関連の情報を追っていく中で、それなりに頻繁にFlashbackについて取り上げられていて気になっていました。「知らないうちに何か情報を盗まれているのではないか」「知らないうちに他人に迷惑をかけているのではないか」という心理は特に焦燥を呼びます。カスペルスキーラボとしては善意でこのサイトを作り、その後自社製品の宣伝に繋げたいという狙いだと思います。
しかし、ユーザーが感じている焦燥を利用してユーザーに行動を起こさせる、ということは悪意あるプログラムをインストールさせるソーシャル・エンジニアリングの手法の1つです。
２．自分のPC（Mac）の情報をネット上のテキストボックに入力することへの違和感
一般的にただWEBを閲覧することと、テキストボックスに何かを入力してボタンを押して提出することは、大きく異なる行為です。殆どの場合その入力した情報はサーバ側に記録されることになります。
個人情報でなくても何かをテキストボックスに入力する行為は閲覧よりも慎重になるべきです。
３．入力させられる my UUID とは何か？
このサイトで入力させようとする your(my) UUID と書いてありますが、特にそれが何なのか説明もなく、ただその見つけ方とコピー＆ペーストするようにとしか書いて有りません。
UUID（Universally unique identifier：汎用一意識別子）とは、機器を管理するための汎用に使われる識別子のことです。そのIDがたまたまMacのハードウェアに割り当てられているために「ハードウェアUUID」とされているのであって、your(my) UUID というのはおかしい表現だと思います。
ハードウェアUUIDはMacのハードウェア個々に割り当てられているもののようで、調べた限りユーザーが簡単に変更する方法というのは見つかりませんでした。もし本当に変更することができないのであれば、ハードウェアUUIDは個人情報と言っても良いレベルのものではないでしょうか？
以前、iPhoneのアプリがUDID（Unique device identifier）という識別子でハードウェアを識別するとプライバシー的に危険である。ということが話題になったことがあります。
・ご注意！ プライバシーへの懸念の高まりを受けてAppleはデバイスIDにアクセスするアプリを拒絶し始めた（TechCrunch 2012/3/26）
UDIDは完全にデバイス毎に割り当てられていて変更が不能であるため、UDIDを取得すると動作を追跡することができ、ユーザーがそれを拒否できないということが問題視されました。
この ハードウェアUUID はユーザーが変更することができないのだとしたら実質的に UDID と同じものであり、他人に渡すのはそれなりにプライバシーのリスクを伴うものではないのでしょうか？少なくともそういう心配はしても良いと思います。
４．なんかおかしい
少し余談的になりますが、このカスペルスキーラボのFlashbackチェック用のWEBサイトは急いで作ったせいか微妙です。
言ってみたら、まず、これが出ました。
ブラウザをチェックした結果なんでしょうが、私のMacにJavaは入ってません。「Read how to fix it」を押下したらソフトウェアアップデートの方法を丁寧に教えてくれました。
また、ハードウェアUUID の見つけ方のところですが、
まあ誤字脱字を指摘できる立場ではありませんが。
繰返しますが、このカスペルスキーラボのサイトが悪意に満ちているとか、このチェックに ハードウェアUUIDを入力してしまった人は個人情報が抜かれている、とかそういうことを言いたいわけではありません。
個人的な自己防衛の習慣として今回のこのサイトには違和感を持った、又、特にハードウェアUUIDについて少しも説明せずにこのチェックを薦めているブログにも違和感を持ちました、ということです。以前のCNETの記事にもあったように、WEBを見る際には習慣として注意しておきたいポイントがいくつかあると思います。
Appleが「Macは安全」と言い切るのはミスリードだと思いますが、「危険なことをせず、するべきアップデートをしていれば、比較的安全」というのは十分言えると思っています。
0 件のコメント:
コメントを投稿