新MacBook Pro（M3）でも機密情報が漏えい 2020年以降のApple製品全てに脆弱性 米国チームが発表

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 米ジョージア工科大学などに所属する研究者らが発表した論文「iLeakage: Browser-based Timerless Speculative Execution Attacks on Apple Devices」は、Mac、iPad、iPhoneなどのApple製品に搭載のSafariを標的としたサイドチャネル攻撃に関する研究報告である。 この攻撃は、最近発売されたM3チップを搭載した新型MacBook Proでも成功し、ソフトウェアの更新状況に関わらず、Apple製品にとって依然として脅威であることを示した。 「iLeakage」

[muchonov]

Apple/SafariのJavaScriptエンジンを利用した攻撃のため、MacOSではSafariのみ（Chromeなど他ブラウザは別エンジン利用）、iOSではwebkitコンポーネントを組み込んだネイティブアプリ全部が影響を受けるとのこと

[parrying]

iOSがサイドローディングを許していれば他ブラウザエンジンを使用するという回避ができたのに。Appleのセキュリティ云々の言い訳はやはり嘘

[mohno]

とりあえず、Apple製品は安全、という迷信をやめろと。Macが攻撃されにくいのは数が少ないだけなんだから、昔から。

[buhoho]

"またSafariブラウザだけでなく、iPhoneやiPad上で実行されている全てのブラウザ・アプリを標的" 重めな脆弱性だ。iPhoneでweb見れないじゃん。

[queeuq]

いきり散らすwindowsユーザーが見えないんだが何が見えてるの？macは使ってるがそのレベルに達していないのだろうな。良かった。そしてappleは糞

[petitbang]

単なるwebkitの脆弱性かと思ったらサイドチャネル攻撃なのか。以前からIntelやAMDなんかで言われてた投機的実行機能を持つCPUの脆弱性と同じようなものがA/Mシリーズにもあるってことね。/Spectre/Meltdown対策を回避してる？

[tsukiji3]

コテコテに古典的なApple信者いらっしゃるじゃないの、天然記念物として保護して差し上げろ

[miron_mikan]

いやーサイドローディングできることによる一般利用者への影響と今回の話ってどっちがいいかどうすべきか比較検討する価値はあると思うけど今時点で断言できるほど単純比較できないと思ったんですがどうなんですかね

[sinoh]

今どきブラウザで情報抜けるとかmacというかsafariやばすぎ

[yukitan_i]

Macに脆弱性があるのは問題だけど、こういう記事が出たときだけいきりちらすWindowsユーザーの僻みっぽさも大概みっともないと思う。どんだけ劣等感こじらせてんだ。

[KoshianX]

今日降ってきたアプデで修正されてるやつなのかなこれ?

[namisk]

Macは炎狐がメインでSafariのクッキーは空だからいいが、iOSは厳しい。

[IGA-OS]

iPhoneもかよー。そっちのほうが重いぞ・・・

[blueeyedpenguin]

Appleはソフトウェア作るのがちょっと苦手なだけだから……

[matudoku]

iLeakage、なかなか尾を引きますね…

[ockeghem]

影響はSafariブラウザのみだが、iOSでは全てのブラウザがSafariエンジンを使うのでWebKitを使うアプリ全てが影響を受けるとのこと

[moromoro]

safariはメインブラウザとして使ってないからなんともな・・OSとかチップの欠陥じゃんとおもったけどwebviewもだめなのかな

[kamezo]

iLeakage、昨年９月にAppleに報告されてた問題だった。https://gigazine.net/news/20231026-ileakage-iphone-ipad-mac/

[otchy210]

"Macが攻撃されにくいのは数が少ないだけ" ってのも、macOS と基盤が同じ iOS 機器の出荷数を考えれば今は真でないのでは？むしろ攻撃する側のモチベーションが高い iOS がこれだけ耐えてるのは褒めて良いはず。

[minamishinji]

Apple、相変わらずだ。

[hetoheto]

ええ、どーすりゃいいのこれ。。

[havanap]

投機的実行の正しい実装って人類にはまだ早そう

[natu3kan]

投機的実行みたいに、この条件なら次はこれ来るだろって先回りして処理してく、計算の高速化の手段は逆手に取られやすいよな。

[daishi_n]

投機実行でサイドチャネル攻撃は定番だったけど、ソフトウェア修正するとパフォーマンス影響大きいから難しそう

[robamimim]

二段階認証も突破できるんだ。やばいね。

[urandom]

Spectre類似の投機的実行の設計ミスか（Apple Silicon機にのみ影響）。数年したら互換性維持の絡みで何か出そうとは思ってたけど、新しく設計した段階でこの脆弱性を作り込んで直せてないとはね。　https://ileakage.com/

[ka-ka_xyz]

ブラウザ選択可能な環境でもWkWebViewがなあ……

[mugi_sisyou]

根本的な問題は Spectre であるが、初期の対処方法が不十分だった

[sotokichi]

投機的実行って鬼門だな。早く何とかしてくれ。

[fujihiro0]

デモ動画ではカットされているが時計が映っているので情報を抜くのに5-7分かかっていることがわかる。怪しげなエロサイトで抜くときはお早めに。

[tribird]

Safari以外を使おう

[nt1192]

macbook, win, iphone, android 持ってるけど、早くデフォルトで脆弱性がなくなるように修正してほしい。現状だと初心者の人に軽減策や危険性を教えるのが難しい。

[tokitori]

でもWindowsより安全だから。そうAppleだからね｜イキってんのはドザーにどっかで見たような能書き垂れて散らかしてる勘違い選民のマカーさんやろ

[aike]

音楽制作の人とかでハードウェアとの相性が悪くなるからOSアップデートしないって人けっこういるんで、こういうのあるとキツそう。

[tettekete37564]

Webkit の脆弱性って事ね。ソフト的な脆弱性なのにハード名持ち出すのはなんか恣意性を感じるね。セキュリティチップの機能が無効化されたのかと思っちゃったじゃん

[peketamin]

また株価下がるのか