クラウド写真ストレージはハッカーに侵入されるのか
この疑問はたいてい、あるニュース見出しの後にやってきます。流出、有名人のスキャンダル、あるはずのない場所に置かれたプライベートな写真のフォルダ。真っ先に思い浮かぶのは暗号化が破られたという想像ですが、実際にそうなることはほとんどありません。クラウド写真ストレージが開かれる経路は毎回ほぼ同じで、そのすべてが暗号技術ではなくアカウントを通っています。これを知っておく価値があるのは、何が自分を守るのかが変わってくるからです。あなたが何をしてもAESの強度は変わりませんが、アカウントへの到達経路はすべてあなたの手の中にあります。
はい、ただし暗号化を破ってではありません。実際には、クラウド写真アカウントは認証情報によって開かれます。サインイン画面そっくりのフィッシングページ、何年も前に流出したサイトから使い回されたパスワード、サポートを装った電話、あるいはすでに端末のパスコードを知っている人物です。2ファクタ認証はリモートからの経路の大半をふさぎます。パスワードだけではサインインに十分ではなくなるからです。高度なデータ保護はサーバー側の問題を解決し、「iCloud写真」をエンドツーエンド暗号化に切り替えることで、鍵は端末側に置かれ、Appleは引き渡すことも失うこともできる鍵を一切持たなくなります。ただし、どちらの対策も、目の前でスマートフォンのロックを解除されてしまう相手には効きません。また、鍵をサービス側が保持し続ける仕組み、つまりGoogleフォトをはじめとするほとんどのプロバイダーの標準設定にも当てはまりません。失われると本当に困る写真は、侵入すべきアカウントそのものが存在しない、端末上の暗号化されたボールトに置くべきです。
「ハッキングされる」とは実際には何を意味するのか
まったく異なる二つの出来事が、同じ言葉で呼ばれています。一つはプロバイダー侵害で、攻撃者がサーバーに到達し、多数の人のデータを一度に持ち出すケースです。もう一つはアカウント乗っ取りで、誰かが入手した認証情報を使い、ごく普通のサインイン画面からあなたになりすましてサインインするケースです。クラウドストレージからプライベートな写真が流出した事例のほとんどは、後者にあたります。今でも語り継がれている大規模な有名人の写真流出事件も、Appleへの侵入ではありませんでした。アカウントはフィッシングで盗まれたパスワードと、推測されたセキュリティ質問の答えによって、一件ずつ突破されたのです。その後の起訴でも同じパターンが描かれていました。サポート担当者を装い、ただパスワードを尋ねるというものです。
この区別が重要なのは、二つに対する防御がまったく逆だからです。プロバイダー侵害への答えは暗号化設計、つまりファイルと一緒に持ち出されうる鍵を、その会社が保持しているかどうかにあります。アカウント乗っ取りへの答えは認証、つまりパスワードだけで誰でも入れてしまうかどうかにあります。多くの人は前者を心配しますが、実際に危険にさらされるのは後者によってです。クラウド写真ストレージのプライバシーポリシーが実際に何を述べているかを検証した記事では、鍵の保有者についてプロバイダーごとに解説しています。このガイドが扱うのはもう半分、リンクの先にいる誰かがあなたになりすまそうとする部分です。
実際に機能する4つの侵入経路
一位はフィッシングで、他を大きく引き離しています。不審なアクティビティやアカウントのロックについてのメッセージが届き、リンクを開くとサインイン画面そっくりの偽ページが表示され、そこにパスワードを入力してしまいます。最新の手口では2ファクタ認証のコードもリアルタイムで中継されるため、パスワードの直後に6桁のコードを求めてくるページだからといって、そのサイトが本物だという証明にはなりません。二位はパスワードの使い回しです。2015年にどこかの掲示板で設定し、後にそのサイトが流出したパスワードは、今ではリストの一部となっており、そのリストが主要なサービスすべてに対して自動的に試されます。この攻撃には、攻撃者があなたが誰であるかを知る必要も、気にする必要もありません。
三位はリセットの連鎖です。アカウントに登録されたメールアドレスにアクセスできれば、それだけでパスワードの変更が可能になることが多く、弱いパスワードのメールアカウントが、それに紐づくすべてのものへの鍵にひっそりと変わってしまいます。四位、そして現実には最も多いのが、物理的な近さです。端末のパスコードを知っている人物はスマートフォンのロックを解除でき、iOSではそのパスコードでアカウントのパスワードまで変更できてしまいます。だからこそ「盗難デバイスの保護」という機能が存在し、オンにする価値があるのです。ロックが解除された端末に監視アプリを入れられるケースも同じ範疇に入ります。この4つのどれも暗号化そのものへの攻撃ではなく、暗号強度をどれだけ上げても対処できません。
2ファクタ認証とエンドツーエンド暗号化、それぞれがカバーする範囲
2ファクタ認証は経路の一位と二位にはよく効きます。サインインには、すでに手元にあるデバイスへ届くコードも必要になるため、盗まれたり推測されたりしたパスワードだけでは足りなくなります。ただし、コードを読んだ数秒後にリアルタイムで中継してしまう偽ページには効きませんし、ロックが解除されたスマートフォンを手にした人物に対しても無力です。高度なデータ保護がカバーするのは、まったく別の問題です。オンにすると「iCloud写真」と「iCloudバックアップ」がエンドツーエンド暗号化され、鍵は端末側に留まり、Appleは法的な要請に応じて提出できる鍵も、サーバー侵害で奪われうる鍵も一切持たなくなります。これはリスクの実質的な変化であり、「復旧用連絡先」の設定が必須になっている理由でもあります。Appleから鍵がなくなる以上、パスワードを忘れた場合は本当に復旧できなくなるからです。Appleはこの機能を、イギリスの新規ユーザーにはもはや提供していません。
この設定をオンにしていない標準の状態では、「iCloud写真」は転送中もAppleのサーバー上でも暗号化されていますが、その鍵はAppleも保持しています。Googleフォトも同じ仕組みで、メインのライブラリにはエンドツーエンドの選択肢がそもそもありません。どちらの設計もずさんというわけではなく、カメラロールの大部分にとっては十分に理にかなった選択ですが、正直に言えばプロバイダーはファイルを読める立場にあり、あなたはそうしないだろうと信頼しているにすぎません。エンドツーエンド暗号化されたiCloud写真ストレージについての解説記事ではこの設定が何を変えるのかを、iPhoneの写真バックアップがどのように暗号化されるかではバックアップ側について扱っており、非表示にした写真のコピーはそこに残っていることがよくあります。
そもそもアカウントに置くべきではない写真
ここまでの防御はどれも確率的なものです。2ファクタ認証は乗っ取りを不可能にするのではなく、はるかに難しくするだけですし、エンドツーエンド暗号化はサーバーを標的から外しますが、端末は標的のまま残ります。そしてどちらも、執念深い攻撃者や、すでに一緒に暮らしている人物であればいずれ到達しうるアカウントの上に成り立っています。可能性で並べ替えるより、結果の重さで並べ替えるほうが役に立ちます。カメラロールの大半はクラウドに置いても問題なく、その利便性は本物です。しかし一部の写真は違います。身元を特定できる番号が写った書類、親密な写真、脅迫の材料になりうるものです。そうした写真にとって目指すべきは、アカウントの鍵をより強くすることではなく、そもそも方程式にアカウントを含めないことです。
それを実現するのが、端末上の暗号化されたボールトです。Vaultaireはすべてのファイルを端末上でAES-256-GCMによって暗号化し、存在するのにアカウントもサインインも必要とせず、標準ではiCloudにも同期しません。そのため、フィッシングで狙われるパスワードも、乗っ取られるセッションも、侵害されるサーバー上のコピーも存在しません。5個までのボールトなら無料で使えます。信頼する前にこのカテゴリー自体を理解しておきたいという方には、写真ボールトアプリは安全なのかを検証した記事があり、暗号化に関する主張とどれが検証に耐えるものかを解説しています。同期されない写真は、自分が管理していないサービスから持ち出されることはありません。
関連ガイド
出典
よくある質問
iCloud自体がハッキングされたことはありますか
Appleのサーバーが、一般に想像されるような形で公に侵害された事例はありません。写真流出につながった事件はどれもアカウント乗っ取りで、フィッシングで得られたパスワード、推測されたセキュリティ質問、あるいは他の流出サイトからの使い回しによるものでした。これは重要な区別です。対策が必要なのはAppleの側ではなく、サインイン画面のあなたの側にあることを意味するからです。
2ファクタ認証をオンにすれば写真は安全になりますか
最もよくあるリモートからの経路をふさいでくれるので、大きな改善にはなりますが、絶対的なものではありません。よくできたフィッシングページはコードもリアルタイムで中継できますし、スマートフォンのロックを解除できる人物や端末のパスコードを知っている人物に対しては、2ファクタ認証は何の役にも立ちません。これは行き当たりばったりの攻撃を防ぐ最低限のラインであって、保証ではないと考えてください。
GoogleフォトはiCloudより安全性が低いのですか
メインのライブラリについて言えば、Googleは鍵を保持しておりエンドツーエンドの選択肢は用意していませんが、iCloudは「高度なデータ保護」でエンドツーエンド暗号化に切り替えられます。標準設定のままであればiCloudも鍵を保持しているので、違いは出発点ではなく到達できる上限にあります。どちらも外部の攻撃者に対しては、転送中および保存時のデータを暗号化しています。
アカウントが開かれたかもしれないと思ったら、まず何をすべきですか
まず信頼できる端末からパスワードを変更し、「設定」の自分の名前の下にあるデバイス一覧を確認して、見覚えのないものを削除します。これによりそのセッションは終了します。次に、アカウントのメールアドレスと電話番号が今も自分のものであることを確認してください。攻撃者はアクセスを維持するためにこれらを書き換えることがあります。そして、メールアカウント自体も確認してください。たいていの場合、それが再侵入の経路になるからです。