Appleは「固有識別子」を活用してアプリ内購入ハッキングを阻止

開発者らは水曜日、有料コンテンツを無料でダウンロードできる最近発見された回避策を阻止するため、Appleがアプリ内購入に固有の識別子を添付し始めたと報告した。

名前を明かさないアプリ開発者らからMacRumorsに送られた散発的な情報によると、iPhone メーカーによるアプリ内購入回避策に対する最新の取り組みには、独自の識別システムか、すべてのワイヤレス iDevice に割り当てられる固有の番号である固有デバイス識別データ (UDID) のいずれかが関係しているとのこと。

開発者は、アプリ内購入の請求書に「unique_identifier」という新しいフィールドが追加されているのを確認しています。これはデバイスのUDIDのようです。報告内容は一致していますが、Appleが実際のUDIDデータを使用しているのか、それとも新しい形式の識別情報を使用しているのかは不明です。同社は、この機密情報を利用するアプリに対して規制を設けているためです。

報告されたハッキン​​グは先週金曜日に初めて公表されたもので、偽造デジタル証明書を特定のDNSサーバーに送信し、DNSサーバーが偽造されたコードレシートを返信することで、「購入」を事実上正当なものとして認証するというものだ。この回避策を発見したロシア人ハッカー、アレクセイ・V・ボロディン氏は、デジタルレシートは汎用的で固有のユーザーデータが含まれていないため、Appleの購入プロセスは簡単に再現できると述べた。

水曜日のニュースは、ロシアのハッカーが使用したIPアドレスへのアクセスをブロックするというアップル社の動きの直後に出たもので、報道によれば、その後、この回避プロセスに関与したサーバーを停止するよう要請が出されたという。

UDIDアクセスは最近、消費者擁護団体や政府機関がAppleに対し、不正利用される可能性のあるデバイス固有データの利用制限を課すよう求めたことで、議論の的となっている。モバイル広告代理店は、匿名とされるUDID指標から算出された指標を広告収益源としており、アクセス遮断は収益に悪影響を与えるとして、強く反対している。

Appleは、開発者がUDIDデータを使用しないよう徹底するための措置を講じており、同識別子を使用したApp Storeへの申請を拒否していると報じられています。ただし、Appleによる取り締まり以前にUDID情報を使用していたアプリは、引き続きデータにアクセスでき、アップデートの申請時にのみ変更可能です。

Apple社は新システムに関して沈黙を守っているが、同社が固有識別子への無制限のアクセスを許可する可能性は低い。