Google、不正アプリ27本をAndroidマーケットから削除 67
ストーリー by headless
偽物 部門より
偽物 部門より
コンテンツ課金の可能なプレミアムSMSを秘かに送信するマルウェアが公式のAndroidマーケットで発見され、報告を受けたGoogleが計27本の不正アプリを削除する事態となった(
The Lookout Blogの記事、
BBC Newsの記事、
Symantecのセキュリティ情報)。
このマルウェアは米Lookoutが発見したもので、「RuFraud」と名付けられている。ヨーロッパのユーザーを主なターゲットにしており、初回起動時に表示される確認画面でユーザーが承認ボタンをタップするとプレミアムSMSが秘かに送信されるとのこと。アプリ自体は既存のアプリを再パッケージ化したもので、Angry Birdsのような超有名アプリも含まれる。Lookoutによれば、同様のマルウェアは数ヶ月前から非公式のアプリストアやファイル共有サービスでの配布が確認されていたそうだ。先週から公式のAndroidマーケットでの配布の配布が確認されはじめ、12月11日までにLookoutが発見したRuFraudは22本。さらに5本が13日までに発見されたという。
以前にもマルウェア「DroidDream」の組み込まれたアプリが配布されるなど、公式のAndroidマーケットではアプリの事前審査が十分に行われていないことが指摘されている。今回は超有名アプリの偽物が配布されたこともあり、Googleは審査を強化すべきだといった声が強まっている。
このマルウェアは米Lookoutが発見したもので、「RuFraud」と名付けられている。ヨーロッパのユーザーを主なターゲットにしており、初回起動時に表示される確認画面でユーザーが承認ボタンをタップするとプレミアムSMSが秘かに送信されるとのこと。アプリ自体は既存のアプリを再パッケージ化したもので、Angry Birdsのような超有名アプリも含まれる。Lookoutによれば、同様のマルウェアは数ヶ月前から非公式のアプリストアやファイル共有サービスでの配布が確認されていたそうだ。先週から公式のAndroidマーケットでの配布の配布が確認されはじめ、12月11日までにLookoutが発見したRuFraudは22本。さらに5本が13日までに発見されたという。
以前にもマルウェア「DroidDream」の組み込まれたアプリが配布されるなど、公式のAndroidマーケットではアプリの事前審査が十分に行われていないことが指摘されている。今回は超有名アプリの偽物が配布されたこともあり、Googleは審査を強化すべきだといった声が強まっている。
アプリのアクセス制限をユーザーにさせて欲しい (スコア:2)
Androidはアプリのインストール時にアプリの使用する機能をユーザーに通知するだけでなく、アプリの使用する機能をユーザーのほうで制限できる機能をつけて欲しいものです。
アプリをインストールしようとすると本来必要ない情報にアクセスしたがるソフトが多すぎて困る。
#例えばタスク管理ソフトのくせにアドレス帳へのアクセスを求めてきたりして怪しすぎます
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:2, 参考になる)
permissionが許可する動作とpermissionに対する説明文が不足しているというか、
android開発者じゃないと対象のpermissionがなせ必要なのか判断しづらいの現状のandroid marketですね。
特にgoogleアカウントへのアクセス権限とかは抽象化されててよく分からないし。
(gdataでgoogleサービスへのアクセス処理とかやったことが無いとイミフだとおもう)
AndroidManifest.xmlあたりにアプリが要求するpermissionの使い道とか説明添付できればいいのにとかも思ったり。
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:2, 参考になる)
>Androidはアプリのインストール時にアプリの使用する機能をユーザーに通知するだけでなく、
>アプリの使用する機能をユーザーのほうで制限できる機能をつけて欲しいものです。
>アプリをインストールしようとすると本来必要ない情報にアクセスしたがるソフトが多すぎて困る。
権限を強制的に落とすためのアプリは実在します。
やってることは、権限を減らした状態で別アプリとして作り直してインストールしなおす、
という感じですね。
ただ、この場合「本来得られるはずの権限が実行時にエラーとなったら？」について、
アプリ側の作りによっては「アプリそのものが異常終了する」ようになります
(というか体感では異常終了するもののほうが多い)。
ここから先は現実的な話として、
１）
たとえば「端末のスリープ抑止を許可しない」を強制的に落としたとします。
ここでそのアプリが、実際にはサーバーと安定して同期するために上記権限を申請し、
スリープ中でも必要と考えるタイミングで同期しており
「権限を落とすと、頻繁に同期失敗になりオンライン側のデータも頻繁に破壊されます」という場合。
未熟な利用者たちは気楽に権限を落とし、そしてデータ破壊が随所で起きることになります。
ものすごいクレームの嵐が予想されますね。
残念ですが、それまで織り込んで利用しろという域にはAndroid端末の想定ユーザは達していないでしょう。
２）
異常終了しないようにすべての使いうる権限”がない”場合に対して完璧な実装、
権限がない場合の回避ロジックの埋め込みを要求するのは酷でしょう。
想定ケースが莫大になりすぎます。
個人的な結論としては、
「インストール時に権限を確認させる。スルーしたとしてもそれは利用者責任」という観点は
「やらないよりはやったほうがいい。やらないでも他OS並みにセキュリティ強度が落ちるだけ」程度で済みますが、
権限を落とすことについては
「やったらアプリとしてそもそも成立しなくもなりえる(致命的なデータ破壊なども含む)」
「だからってどんなに権限落とされても完璧に動けとか無理」
ですので、
要求の次元としてかなり無茶だなぁ、と思わざるを得ません。
現実的な話としては、
「アプリが必要だと言ってるならまー許すか、そもそもアプリ自体使わないにするか」が
妥当なラインでしょう。
一般的な利用者の立場では。
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:2)
ですから、#2067768 [srad.jp]氏の意見は納得ですね。
その権限を何に使うのかを明確に説明してくれると、双方で齟齬が起きにくいのではないでしょうか。
一人以外は全員敗者
それでもあきらめるより熱くなれ
Re: (スコア:0)
泥棒に何を盗むか説明しろと？
Re: (スコア:0)
逆、説明しなければ泥棒。
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:1)
>逆、説明しなければ泥棒。
説明したとしても、今度は安易な誤魔化しが入るだけですよ。
相手がそもそも悪意ある者ならそうするのが当たり前です。
たとえばタスクリストアプリなのにアドレス帳にアクセスする、を問題視するなら、
誤魔化すために最低限の言い訳機能
(参加者へのリマインダなりなんなりという名目で、自前でメール送ろうとする機能を付け足す)
とかして、それを大義名分に裏で他の悪意ある動作を働くだけです。
ここでは、某掲示板のテンプレ行動としての
「俺は実際に～を使ってる人間だが」が当てはまるかな、と思います。
特定メーカーや特定キャリアの狂った信者やアンチは、わざわざ叩くために
叩きたい側の製品や契約を結び、それで「実際の利用者だ」を名乗ってものすごい暴れまわります。
※ ボーダ信者がわざわざauを契約してその回線からauを叩きに叩く、など。
この場合、「一見たしかに言ってることが妥当に見える、正規の手順に見える」としても
その裏にあるのは「一線越えれば逆に大義名分が与えられてやりたい放題」という側面です。
ですので、そういう側面を与えないためには
「権限についての釈明は、別にしてもいいけど
したからってプラスには見ない」ことが必要になってきます。
Re: (スコア:0)
大義名分だけ言っておいて、裏の行動を隠していたら説明を果たしていません。
ウソの説明をしたことが(特にプレスとか高木さんwに)バレれば、糾弾がはじまると思いますが。
「説明を省略しただけ」「聞かれなかったから答えなかった」で済むのはQBさんだけでけっこうです。
Re: (スコア:0)
糾弾w
しれっとした対応で終了でしょう
Re: (スコア:0)
あなたが
「自分の意見のほうが正しいということにするためには、なんでも言う」
だけは分かりました。
そうでないなら残念ですがあなたは社会経験がないのでしょうから、
まず社会生活を積んでください。
現時点ではお互いの時間の無駄なんで止めにしましょう。
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:1)
アプリを入れるごとに数十個の確認メッセージが出てきて、大多数の人は何も読まずにOKするか、
または、「面倒だからやめろとのユーザーの声に応えてなくすことにしました」ということになる。
そのうち、個人情報をそこまで気にするのは一部の偏執狂だけだという空気になって、
それでもこだわる人は「空気読め」と言われてしまうようになる。
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:1)
実際、ウイルス対策業者が騒いでる割に、
今回の件もたかだか「のべ」1万DLでそのうちロシアなんかに在住している人だけが被害に遭うわけだから実被害は多分三桁行くか行かないかで、
リジェクトしてkill switch押せばええやんという言い分もまあ実際あるだろうなって気はする……。
どこぞのプラットフォームみたいに、
ユーザから自衛手段を取り上げてGoogleが審査してるフリだけしてウイルス対策業者を出禁にして黙らせたら
そりゃあ静かになって一般ユーザの安心は取り付けられるかもしれない(そしてどこぞのように犯罪者も大喜びだろう)が
お前ちょっとお天道様の下でDont be evilって言えるか試してみろよってなる。
読む読まないはともかくとして、ユーザにきちんと情報を提示するというのも大事だと思うよ。
ユーザが自衛する手段は与えられるだけ与えておくべきじゃないかな。それを使わないのは勝手だけれど。
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:2)
>要求の次元としてかなり無茶だなぁ、と思わざるを得ません。
開発者から見るとそうかも知れませんが、
セキュリティ上の懸念が広がりつつある現状では、利用者からすれば自然に出てくる要求かと思います。
>現実的な話としては、
>「アプリが必要だと言ってるならまー許すか、そもそもアプリ自体使わないにするか」が
>妥当なラインでしょう。
>一般的な利用者の立場では。
それが妥当かはわかりませんが、現状はそのように運用するしかないですね。
Marketの検索条件に「〜の権限を要求しないアプリ」とかを入れられるようになれば我慢できるラインかもしれません。
#必要もないのに、ネットへの接続や個人情報へのアクセスやSMSの発信を要求してくるアプリが多すぎます
#それらを除外できる仕組みが何らかの形で欲しい。
Re: (スコア:0)
同期失敗しただけでオンライン側のデータが破壊されるとかどう考えても単なる欠陥。
そんな欠陥アプリはどのみちクレームの嵐になるよ
Re: (スコア:0)
OS側で権限を削れるようになって、権限が無くてもエラーにならずにダミーの結果が返るようになれば問題ないのでは。
アプリ内広告で儲けたい人は、インターネット権限を削られるのは嫌がりそうですが、もうじき広告機能制限無しの完全無償アプリが充実してきて、どのみち広告付きアプリなんて見向きもされなくなっていくでしょう。
Re: (スコア:0)
スマホと比べて相対的に歴史の長いPCでは、特に広告などついてない無料のアプリだけでもそれなりに快適に過ごせますからねえ。
スマホ(およびアプリ作成者)もそのうち枯れてくるのでしょうけど…
Re: (スコア:0)
>OS側で権限を削れるようになって、権限が無くてもエラーにならずにダミーの結果が返るようになれば問題ないのでは。
モノによりますね。
たとえば「自局電話番号を取得」程度なら、ダミー番号を返すなどもできるでしょう。
それに対し、TCP/IPを直接叩いて特定の値を送信し、その戻り値と終了ステータスを得る、などでは
そもそも「なにがダミーとして適切か？」が確定しません。
それは「予知能力を使え」ですから。
そんなこんなで「んなもんわかんないよ」なダミー値を、
山ほどの数綻びなく事前設定できるかといえば、そりゃ無理ですね。
Re: (スコア:0)
スマホとは、ユーザーの個人情報をうまく吸い上げることで利益をあげるための道具ですから、
そう簡単には、分かってるユーザーの思い通りには、ならないと思います。
Re: (スコア:0)
>スマホとは、ユーザーの個人情報をうまく吸い上げることで利益をあげるための道具ですから、
>そう簡単には、分かってるユーザーの思い通りには、ならないと思います。
アプリ製作者側にとってはそういう側面が強いですね。
iOSのような「権限は(GPSを除いて)そもそも全開放」すら
一般人には問題視されていない状況です。
Androidだけがすでにインストール時の権限確認＆制限で先行しているのに
これ以上先に進んでいくかといえばそれは難しいでしょうね。
Re: (スコア:0)
>Androidだけがすでにインストール時の権限確認＆制限で先行しているのに
は？Android「だけ」？
BlackBerryだってそのくらいの機能前から持ってますよ。
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:1)
>BlackBerryだってそのくらいの機能前から持ってますよ。
つーか、NOKIAのスマートフォンでは昔から当たり前のように存在している機能なのですがｗ
通知の設定いじったから、ACだとコメントされても気づかない事が多いよ。あしからずｗ
Re: (スコア:0)
むしろ存在してないのが旧WindowsMobileとiOSだけだよね…
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:1)
そう言えばそうですねぇ。
でも、WMにも無かったとは、ちょっと驚き。
通知の設定いじったから、ACだとコメントされても気づかない事が多いよ。あしからずｗ
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:1)
iOS はパーミッションベースの保護機構ではなくて、Jail (Sandbox) ベースの保護機構ですから。
本質的にはそのような機能は不要です。そのかわり「自由なアクセスによる開発」ができませんけれど。
Re: (スコア:0)
WMは書名付きじゃないとAPIに制限をかけることが可能ですよ。
日本で出荷されたものに、その機能を使ったものが無かっただけです。
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:1)
機能が存在するのと製品レベルで使われるのとは別問題ですからねぇ。
まあそれ式に言うならiOSにもサンドボックス機能はありますね。
信者がiOSを鉄壁だと思っているのと同じくらい、アンチはiOSが完全ノーガードだと思ってたりしますが、
実際にはサンドボックス機能そのものは存在していて、アプリ別ストレージなんかは保護されています。
ちょーっとばかり、電話帳や予定表といった電話としてアウトすぎる部分が丸出しなだけで
あれは全裸じゃなくてネクタイ着用チンチン丸出しの紳士スタイルなだけ。
Re:アプリのアクセス制限をユーザーにさせて欲しい (スコア:2, 参考になる)
> そのかわり「自由なアクセスによる開発」ができませんけれど
本当にそうなっていたら、つまり全てにおいて例えばdojaのようにアレもできないコレもできないとなっていたら、それはそれで良かったんですがねぇ。
適切に個別の穴を開ける機構がないけどAPI的な利便性もある程度犠牲にしたくない、仕方ないのでjailの中から電話帳も予定表も触り放題にしましょう、
みたいなバカな設計してるせいで何のためのjailなのそれって状態に。
#電話機としてまずそこ守れと
まあ元々がセカンドパーティまでしか開発させない前提で設計されていたものを無理矢理開放したので
セキュリティ周りの設計がメチャクチャなのはある程度仕方ないですが…。
守ってるものと守ってないものを見比べると、あのsandboxはセキュリティのためじゃなくて
Appleにしかできないサービスを制限するためにあるものですよね、正直言って。
かといってそれはそれとして、
Androidのパーミッション機構が今のままで良いという話ではないですし、まだまだ改善の余地は大いにありますし、
一番遅れてるiOSと比べて「あれよりマシ」と言うのは非常にまずい風潮なのですが。
Re: (スコア:0)
>は？Android「だけ」？
言葉尻だけ突いて暴れるのは典型的な負け犬ですよ、
周囲の迷惑でしかないそんな行為は慎んだほうがあなたのためかと。
Re: (スコア:0)
>iOSのような「権限は(GPSを除いて)そもそも全開放」すら
>一般人には問題視されていない状況です。
ちょっとは考えてから物を言えよ。
Re: (スコア:0)
Androidだけ退化しているんじゃないの？
今時アプリの導入でいちいちチェックしないと危ないものなんて少ないよ。
しかも穴も多いし・・やり方を間違えているとしか思えないね。
Re: (スコア:0)
それはあなたの認識が歪んでるだけですね。
実際問題として、iOSのAppStoreにも悪意あるアプリは存在します。
先日の某ブラウザなど。
そしてiOSの利用者はチェックすらもできない上、
Appleはセキュリティベンダーに対して圧力をかけ、
iOS向けアンチウイルスアプリ(not Macなどのウイルス検出)を提供禁止すらしています。
ここから先は、どれだけApple信仰を丸出しにするかだけです。
「信仰が深い私はAppleを信用できるんだ！」とかだと、
まー「一人でやっててください、できれば他人に干渉しないであなたの脳内だけで」ですね。
広告のため (スコア:2)
Android の得に無料のアプリは、やたらとそのアプリの機能には必要のないアクセス権限を要求します。
そしてユーザーはそれに慣れてしまってアクセス権限の要求に鈍感になっています。
これは良くない傾向だと思います。
なんでそんなにアクセス権限を要求するためかというと広告を表示するためなので、
広告を表示するために必要な特別なAPIとそのためのアクセス権限を作って。
そのAPIを使った時、本物の端末IDを渡すかどうかとか、どの広告プロバイダーと通信できるとかは、
アプリのインストール時でなくて、全体の設定画面とかで設定できるのが良いと思います。
au one market (スコア:1)
一時閉鎖していたのは、これと似たような物が国内向けにも有るということでしょうかね？
不正アクセス禁止法の強化 (スコア:1)
http://www.yomiuri.co.jp/national/news/20111215-OYT1T00557.htm [yomiuri.co.jp]
警察庁の片桐裕長官は、インターネットバンキングで他人の暗証番号を盗み取る不正が相次いでいることに触れ、「（個人情報をだまし取る）フィッシングサイトを公開すること自体を犯罪にすることや、不正アクセス行為をより重罰化することを検討している」
スマホの不正アプリも取り締まってくれればいいのに
不正指令電磁的記録 (スコア:2)
そんな無関係の話を引っ張ってきても。不正指令電磁的記録には違わないんだから、先日の刑法改正で対象になるでしょ。
まあ、スマートフォンは電話機であって、電子計算機ではないという解釈もあり得るかもしれないけど。
村の時間の時間がやってまいりました (スコア:1)
配布の配布がってなんやねん！って思ったら後はどうでもよくなってしまった。
#なるべく素性が分からないソフトは落とさないようにしてますね、個人的には。
審査 (スコア:0)
>公式のAndroidマーケットではアプリの事前審査が十分に行われていないことが指摘されている。
>Googleは審査を強化すべきだといった声が強まっている。
開発者側だとアップルの不明瞭な審査は嫌ですからね。
それより審査無くて簡単にソフト公開できるAndroidマーケットは便利です。
それと事前審査するとなると今度は審査の手間から金の徴収がされるのでは?と心配になる。
現在は最初に25$だけと有料アプリの場合は30%の手数料だけど
今後はアップルみたいに一年ごとにお布施が必要になるのは嫌だな。
Re: (スコア:0)
技術者視点で言うと、
そもそもブラックボックステストでのセキュリティ審査なんて「やりようがない」はずなわけで、
発見したら即リジェクトしてKill swtichで消す、以外に現実に有効な手段ってないよなぁと思ったり。
「事前審査ガー」とか言ってる人たちは、具体的にどのような魔法の技術で審査すべき(もしくはアップルがどのような審査()をしている)と思っているのだろう。
アップル界が「ウイルス対策業者に騒がれない」理由なら簡単に言えるよ。出禁だから、以外の何物でも無い。
でもあの現実に電話帳ブッコ抜かれまくりワールドでどんな事前審査がどう機能してるって言うんだろう?
Re: (スコア:0)
> 現実に電話帳ブッコ抜かれまくりワールド
なぜそんなことが起こるのでしょうか。なぜ防げないのでしょうか。
アプリから自由に見れるところに電話帳データが置いてたりするのでしょうか。
ケータイやスマホの開発って知らないので、まじ知りたい。
Re: (スコア:0)
>アプリから自由に見れるところに電話帳データが置いてたりするのでしょうか。
そのおかげで電話帳アプリの開発ができます。標準の電話帳アプリは使いやすいとは言えないので
>ケータイやスマホの開発って知らないので、まじ知りたい。
フィーチャーフォンのアプリ(iアプリなど)はネイティブアプリとの制限の差がすごくてアプリを開発していても面白くない。
Re: (スコア:0)
そもそも審査が必要であること自体、技術的な不完全さの現れなんだと思う。
OSは、アプリに対して性悪説に基づいて対応すればいいのに。
あたかも、ウェブブラウザがウェブページ上で走るスクリプトに対して
性悪説に基づいて対応するかのように。
Re:審査 (スコア:1)
こういうのは常に技術的には不完全なもの
性悪説にのっとってpermission systemがあったからって技術的な不完全さが完全に解消されるわけじゃない
でもそもそも「審査」なるものが一体何を担保しているのか不明なのが問題
何か革命的な新技術でもない限り早晩いたちごっこになって意味をなさなくなるはずのものが何故銀の弾丸のように喧伝されているのかと
大丈夫だから信じろ証拠は無い、ってのは技術的に不完全という以前に技術的に不誠実すぎる
これで信じちゃう人が多いから成り立ってる話なんだろうけどねぇ
Re:審査 (スコア:2)
技術的不完全とか、いたちごっこだとか、それは大前提になってる話。
今回のように、プレミアSNSにアクセスするとか、著名アプリにマルウェアをバンドルとか、そういう典型的な手法のチェックならば、審査時の負荷が過大とは言えないでしょう。
斬新な手法だったら、審査を通っても仕方がないさ。審査なんだから、既存の基準に依存するのは避けられない。
Re: (スコア:0)
アップルの不明瞭な審査
まあ、世間の大概の審査と呼ばれるものは不明瞭なものだよ。
明らかな誤審なら叩かれるけど、アップルだって酷く叩かれない程度には立ち回るし。
Androidの審査は明瞭さを優先した分、さじ加減の対応は苦手だよね。
Re: (スコア:0)
登録料無料の強制オープンソースアカウントと月額30ドルの商用アカウントに分けるとか
Re: (スコア:0)
年額99ドルで無法地帯になっている例を考えると
月額30ドルで「商用アカウント」になって利用者の油断が誘えるなら
犯罪者の皆さんは喜んで月額30ドル払うと思うよ。
ウイルス蔓延のはじまり！？ (スコア:0)
これはもう駄目かも？
まだ今は単純なウイルス（マルウェア）ですんでいるけど、今後もっと悪質なウイルスが出てくる可能性が非常に高いですね。
先進的な技術に詳しい人なら大丈夫だといっても
今後何も知らない一般の人にAndroidを売っていくとすると、さらに酷いことになりそうです。
既に消費者生活センターにはいろいろな問い合わせが入っているようだけど・・・
Re: (スコア:0)
程度の差こそあれ、スマートフォン全体の問題でしょ。
Re: (スコア:0)
この思想がより悪化するとラーメンズのCMを企画し始めるわけですね。
でもこの先iOSはマイノリティになっていくでしょうから、MacOSと同じ理由で平和は多少守られるかもしれませんね。
Re: (スコア:0)
ほら出た [srad.jp]