Appleは本当にあなたが実行するアプリをログに記録しているのか?

Jacopo Jannoneのブログより。 Appleが発表したmacOS Big Surがリリースした直後にサーバの問題が発生し、ユーザが自分のコンピュータでサードパーティ製のアプリを実行できなくなってしまいました。Twitter上の人たちはすぐに回避策を見つけましたが、他の人たちはその問題に関連してプライバシーの懸念を表明しています。 Jeff Johnson @lapcatsoftware Appleユーザの皆さん、 もし、あなたがMacでアプリの起動がハングアップしているなら、私はLittle Snitchを使って問題を特定しました。 それは、http://ocsp.apple.comに接続しているtrustdです。 OCSPはソフト障害なので、接続を拒否すると修正されます。 (インターネットの切断も修正) OCSPとは? OCSPは、Online Certificate Stat

[KoshianX]

ああ、なにかと思ったら開発者の署名チェックのことだったのか。これをプライバシー侵害と騒ぎ立てるのはうーんちょっとなあ

[circled]

Apple的には「何も分かってない奴が何か騒いでる」程度にしか思ってなさそう。こうした保護を捨ててランサムウェアとかにやられるよりは、Appleに保護されてる方が大半のユーザには幸せな状態としか思えんのだな。

[sin20xx]

事の本質はプライバシーの問題ではなく、macOSの環境は既にローカルか否かという議論ではなく、全てがAppleの管理下にあるという事。言い換えれば実質的には既にスマホと同じなのでそれを許容するかどうかという事かと

[uunfo]

アプリの証明書チェックにプライバシー侵害の懸念があると言う点では変わらないような。プライバシーを保護しつつ、アプリ配布元の正当性を保つにはどうしたらいいんだ？

[kenjou]

陰謀論じゃないの、と思っていたけどやっぱりそうだったみたい。

[room661]

さもありなん。とはいえOCSPサーバーのパフォーマンスのせいでアプリが起動できない構造は問題やの。

[hevohevo]

なるほど。でも今回の問題は、証明書のないプログラムやスクリプトでさえ何らかの情報を送信しているという話ではなかったっけ。その場合、何の情報を送っているんだろ

[rinsuki]

HTTPSでのOCSPはHTTPであるべき(じゃないと鶏卵問題になる)けどアプリ署名のOCSPはHTTPS使ってもいいんじゃないか / Tor Browser だけで言うと The Tor Project, Inc (MADPSAYN6T) で署名されてるから結局のところ証明書だけでわかりそう

[tettekete37564]

なんだ開発者証明書のことだったのか。Evilなのは邪推して騒ぎ立ててた方じゃねーか。

[NOV1975]

どうも不要なものがありそうだが、いずれにしてもOSがスタンドアロンなPC上でアプリを信頼できないと言うのはもう「パソコン」ではなく「Macというサービスの端末」ってことだよねえ。何に金払ってんの僕たち？

[Windblume2007]

証明書を確認するだけなのでAppleが悪意を持ってなければユーザーが何のアプリを使っているかの情報は持ってないと思う。

[muchonov]

Jeffrey Paul記事の批判として重要な部分は、①送信されているのはアプリではなく開発者の証明書、②アプリ起動時に毎回送信しているわけではなく一定間隔おき、の2点。これ踏まえると元記事の印象は相当変わるはず

[theta]

へー/ Appleは(広告屋のGoogleと違って)客から直接金を貰ってるから、客にとって悪いことはしないのでは無いかという期待がある。

[sotokichi]

“macOSはアプリを実行するたびにアプリのハッシュをAppleに送信することはありません。”

[newnakashima]

うーん。でも前の記事を「陰謀論」で片付けるのは違うような。ユーザーのほとんどが知らなかった（し非常に気付きにくい挙動してた）んだからナイショで送ってる感は否めない気が。

[youichirou]

問題にしてる人は「やろうと思えばできてしまう」ことを問題にしてるんだと思う。それはそれとしてWindows SmartScreenは特に問題視されないのはどこらへんに違いがあるんだっけ。

[ytRino]

単なる証明書の確認ですよ、で解決するところとしないところがあるというだけなのでは。

[kazuhooku]

サーバ署名ならともかくコード署名でOCSP使うんだ / アプリ開発者の識別子であってもプライバシーリスク

[Nobkz]

ふむ。

[rgfx]

（あれ、これ上流のネットワーク機器でocsp.apple.comをブロックしたら、そのネットワークに有るMacでアプリが起動しなくなるやつ？

[honma200]

ちなみにそのCA、Apple以外にも立てる気ないの？ないよね

[remixed]

iOSやAndroidはどうしてるんだろ。macOS上でiOSのアプリを動かす準備とか。

[houyhnhm]

パスワードの有効期限みたいな根本から無駄の多い仕様だなと思う。あと、それに位置情報とか必要？

[yuiseki]

アプリのハッシュではなくて署名した開発者証明書のハッシュを送信しているのか。どのみちかなり高い確度で誰がどこでどんなアプリ使ってるか推定できそう

[onesplat]

そんなこと皆わかった上で、ocspのリクエスト自体が莫大なプライバシー情報であることに誰かが気付いて騒ぎ始めた、という経緯でしょ。この記事の説明をもって問題ないとしてる奴らはそもそも理解する気ないだろ

[gfx]

"macOSはアプリを実行するたびにアプリのハッシュをAppleに送信することはありません"

[Helfard]

これははてブの比較をするやつの出番だな！

[msukasuka]

これ、オフライン環境どうなるんだ？まだBig Surにしてないからなあ

[natu3kan]

スマホと同じで、ある程度の情報が管理されてる状況にはなってそうって感じなのか。

[rryu]

証明書の失効確認だったとは。昔ながらのCRLからOCSPに更新したらOCSPサーバの能力が足らなくて問題になったという感じか。

[dgen]

アプリ起動は証明書確認の切っ掛けに過ぎないってことかな。この件とは別の話になるけど ms は許諾無しに堂々とクラッシュレポートとか送信するようになったよな。

[triggerhappysundaymorning]

おや？ 話が違ってきてるね……

[proverb]

陰謀論だったか…いや、鵜呑みにしすぎたな。反省。

[iwanofsky]

なるほどね

[monochrome_K2]

これはApple公式に記載されているアプリ検証の動作という認識で良いのかなと思う https://www.apple.com/jp/macos/security/

[hylom]

個人的にはログに記録しているかどうかより、一箇所の障害で世界中のMacにトラブルが発生することの方が恐ろしいと思います

[cartman0]

パケットキャプチャデフォにしてほしい