Lacoon Mobile Security、iOS向けGmailアプリに通信傍受の脆弱性を確認

  • 元記事:Security Disclosure: Google’s iOS Gmail App Potential Target for Threat Actors
  • HP:Lacoon Mobile Security
  • 発表日時 2014/7/10

    AppleのiOS向けGmailアプリに中間者攻撃を受ける恐れがあるとして、Lacoon Mobile Securityが情報を公開した。一般的にはアプリとサーバ間の通信をする際に、通信内容が見られないよう安全に通信を行うためにSSLのような暗号化を利用しているが、偽装されたSSL証明書を作成することで、脅威のアクターがバックエンドサーバ(Gmail)になりすますことができる。その結果改ざんや暗号化された情報の閲覧などされる恐れがある。
    同社によると、iOS向けGmailアプリには証明書のピンニングを実行せず、その結果中間者攻撃を受ける恐れがあるとしている。被害者は特に疑わしいアクティビティなどの暗示も受け取らない。このピンニングはAndroid版のGmailアプリには実装されており、iOSのみ実装されておらず、これは明らかに手落ちだとしている。同社はGoogleにこの問題について2月24日に報告しているが、現在も修正されていない。