Apple の独占禁止規則の性急な施行により EU ユーザーのプライバシーが危険にさらされる

Apple が iPhone 上でサードパーティのアプリ ストアを許可するという EU 独占禁止規則の採用を渋ったことで、Safari ブラウザ ユーザーが潜在的な Web 追跡にさらされています。開発者のTalal Haj Bakry氏とTommy Mysk氏は、AppleがSafariを使用してiOSにサードパーティのアプリマーケットプレイスをインストールするプロセスをどのように実装したかを調査し、クパチーノのアプローチは著しく悪いと結論付けた。 「我々のテストでは、Appleがこの機能に致命的なセキュリティとプライバシーの欠陥を抱えた状態で出荷したことが判明した」とBakry氏とMysk氏は週末に公開された勧告の中で述べた。

Apple met en danger la vie privée de ses utilisateurs en Europe avec sa mise en œuvre bâclée de la réglementation antitrust

Apple、反トラスト法導入の失敗でヨーロッパでユーザーのプライバシーを危険にさらす

Le refus obstiné d'Apple de se conformer aux règles antitrust européennes en autorisant les magasins d'applications tiers sur les iPhones a exposé les utilisateurs de son navigateur Safari à un suivi potentiel de leur activité en ligne.

Apple が iPhone 上でサードパーティのアプリ ストアを許可することで欧州の独占禁止法に従うことを頑なに拒否しているため、同社の Safari ブラウザのユーザーはオンライン アクティビティの追跡にさらされる可能性があります。

Les développeurs Talal Haj Bakry et Tommy Mysk ont analysé la manière dont Apple a implémenté le processus d'installation de boutiques d'applications tierces sur iOS via Safari. Leurs conclusions sont accablantes et révèlent que l'approche de Cupertino est gravement défectueuse.

開発者のTalal Haj Bakry氏とTommy Mysk氏は、AppleがSafari経由でサードパーティのアプリストアをiOSにインストールするプロセスをどのように実装したかを分析しました。彼らの調査結果はひどいもので、クパチーノのアプローチには重大な欠陥があることが明らかになった。

"Nos tests démontrent qu'Apple a introduit cette fonctionnalité avec des failles catastrophiques en matière de sécurité et de vie privée", écrivent Bakry et Mysk dans un rapport publié ce week-end.

「私たちのテストでは、Appleがセキュリティとプライバシーに壊滅的な欠陥を伴うこの機能を導入したことが証明された」とBakry氏とMysk氏は今週末発表した報告書の中で述べた。

Apple, qui fait la promotion de Safari comme "extrêmement privé", a en réalité violé la vie privée des utilisateurs de Safari dans l'Union européenne à travers un schéma d'URI de Marketplace-kit. Ce schéma permet potentiellement aux boutiques d'applications tierces approuvées de suivre ces utilisateurs sur le Web.

Safari を「極めてプライベート」であると宣伝している Apple は、実際に Marketplace-kit URI スキームを通じて欧州連合内の Safari ユーザーのプライバシーを侵害しました。このスキームにより、承認されたサードパーティのアプリ ストアが Web 全体でこれらのユーザーを追跡できるようになる可能性があります。

Un schéma d'URI est un moyen de définir la manière dont une requête réseau spécifique est traitée. Un site Web proposant une place de marché alternative pour les logiciels peut inclure un bouton qui, lorsqu'il est cliqué dans Safari, déclenche une demande de Marketplace-kit, traitée par un processus MarketplaceKit sur l'iPhone de l'utilisateur européen. Ce processus, intégré à iOS 17.4 par Apple, se connecte ensuite aux serveurs back-end de la place de marché approuvée pour terminer l'installation d'applications de cette boutique sur le téléphone.

URI スキームは、特定のネットワーク要求がどのように処理されるかを定義する方法です。ソフトウェアの代替マーケットプレイスを提供する Web サイトには、Safari でクリックされると、ヨーロッパ ユーザーの iPhone 上の MarketplaceKit プロセスによって処理される Marketplace-kit リクエストをトリガーするボタンが含まれる場合があります。このプロセスは Apple によって iOS 17.4 に組み込まれており、承認されたマーケットプレイスのバックエンド サーバーに接続して、そのストアから携帯電話へのアプリのインストールを完了します。

Le problème est que n'importe quel site Web peut déclencher une demande Marketplace-kit. Sur les appareils iOS 17.4 dans l'UE, Safari envoie un identifiant unique par utilisateur aux serveurs d'une place de marché approuvée, révélant ainsi que l'utilisateur venait de visiter ce site. Cela se produit même lorsque Safari est en mode navigation privée. Les serveurs de la place de marché peuvent rejeter la demande, qui peut également inclure une charge utile personnalisée, transmettant davantage d'informations sur l'utilisateur à la boutique alternative. Tout cela est illustré dans la vidéo ci-dessous.

問題は、どの Web サイトでも Marketplace-kit リクエストをトリガーできる可能性があることです。 EU の iOS 17.4 デバイスでは、Safari はユーザーごとに一意の識別子を信頼できるマーケットプレイスのサーバーに送信し、ユーザーがそのサイトにアクセスしたばかりであることを明らかにします。これは、Safari がプライベート ブラウズ モードにある場合でも発生します。マーケットプレイスのサーバーは、個人化されたペイロードも含まれるリクエストを拒否し、ユーザーに関する詳細情報を代替ストアに渡す場合があります。これらすべては、以下のビデオで説明されています。

Outre Safari d'Apple, deux autres navigateurs iOS prennent actuellement en charge les boutiques d'applications tierces en Europe : Brave et Ecosia.

Apple の Safari 以外に、現在ヨーロッパでは他の 2 つの iOS ブラウザ (Brave と Ecosia) がサードパーティのアプリ ストアをサポートしています。

Apple n'autorise pas les boutiques d'applications tierces dans la plupart des régions du monde, invoquant de prétendues préoccupations en matière de confidentialité et de sécurité, et probablement son propre intérêt à maintenir son pouvoir de percevoir des commissions sur les ventes de logiciels.

Appleは、プライバシーとセキュリティ上の懸念があること、そしておそらくソフトウェア販売で手数料を徴収する権限を維持するという自社の利益を理由に、世界のほとんどの地域でサードパーティのアプリストアを許可していない。

Cependant, Apple a été désigné comme "gatekeeper" au titre de la loi sur les marchés numériques (DMA) de l'UE pour iOS, l'App Store, Safari et, plus récemment, iPadOS.

しかし、Apple は EU のデジタル市場法 (DMA) に基づき、iOS、App Store、Safari、そして最近では iPadOS に対する「ゲートキーパー」に指定されています。

Cette désignation signifie qu'Apple est tenu d'ouvrir son écosystème fermé afin que les consommateurs européens puissent choisir des boutiques d'applications tierces et la distribution d'applications via le Web, également connue sous le nom de "sideloading".

この指定は、欧州の消費者がサードパーティのアプリストアやウェブ経由のアプリ配布（「サイドローディング」とも呼ばれる）を選択できるように、Appleが自社の閉鎖的なエコシステムを開放する必要があることを意味する。

Mais attendez, il y a plus

でも待ってください、まだあります

Selon Bakry et Mysk, le schéma URI d'Apple présente trois défauts majeurs. Premièrement, notent-ils, il ne vérifie pas l'origine du site Web, ce qui permet le suivi intersite susmentionné.

Bakry 氏と Mysk 氏によると、Apple の URI スキームには 3 つの大きな欠陥があります。まず、Web サイトの発信元が検証されないため、前述のクロスサイト追跡が可能になると彼らは指摘しています。

Deuxièmement, MarketplaceKit d'Apple (son API pour les magasins tiers) ne valide pas les jetons Web JSON (JWT) transmis comme paramètres d'entrée via les requêtes entrantes. "Pire encore, il transmettait aveuglément le jeton JWT non valide lors de l'appel du point de terminaison /oauth/token", ont observé Bakry et Mysk. "Cela ouvre la porte à diverses attaques par injection ciblant soit le processus MarketplaceKit, soit le back-end de la place de marché."

第 2 に、Apple の MarketplaceKit (サードパーティ ストア用の API) は、受信リクエストを介して入力パラメーターとして渡される JSON Web トークン (JWT) を検証しません。 「さらに悪いことに、/oauth/token エンドポイントを呼び出すときに無効な JWT トークンを盲目的に渡していたのです」と Bakry 氏と Mysk 氏は観察しました。 「これにより、MarketplaceKit プロセスまたはマーケットプレイスのバックエンドをターゲットとしたさまざまなインジェクション攻撃への扉が開かれます。」

Et troisièmement, Apple n'utilise pas l'épinglage de certificat, ce qui laisse la porte ouverte à une interférence de l'homme du milieu (MITM) pendant l'échange de communication MarketplaceKit. Bakry et Mysk affirment avoir réussi à usurper les serveurs impliqués dans ce processus avec leurs propres points de terminaison.

そして 3 番目に、Apple は証明書の固定を使用していないため、MarketplaceKit の通信交換中に中間者 (MITM) の干渉が発生する可能性があります。 Bakry と Mysk は、このプロセスに関与するサーバーを独自のエンドポイントで偽装することに成功したと主張しています。

Le facteur limitant de cette attaque est qu'une place de marché doit d'abord être approuvée par Apple avant de pouvoir entreprendre ce type de suivi. Actuellement, peu de places de marché ont obtenu l'approbation. Nous connaissons le marché des applications B2B de Mobivention, AltStore et Setapp. Epic Games a également prévu une boutique iOS. Quelques autres places de marché fonctionnent après un jailbreak iThing, mais il est peu probable qu'elles attirent un grand nombre de consommateurs.

この攻撃の制限要因は、この種の追跡を行う前に、まずマーケットプレイスが Apple によって承認される必要があることです。現在、承認を得ているマーケットプレイスはほとんどありません。当社は、Mobivention、AltStore、Setapp などの B2B アプリケーションの市場を熟知しています。 Epic GamesはiOSストアも計画している。他のいくつかのマーケットプレイスは iThing の脱獄後も機能しますが、多数の消費者を惹きつける可能性は低いです。

Les deux chercheurs en sécurité affirment que des applications malveillantes se retrouvent régulièrement dans le processus d'examen d'Apple, ce qui signifie que des boutiques d'applications malveillantes pourraient être autorisées à passer. Et ils soutiennent que les problèmes de confidentialité sont dus au désir d'Apple de suivre l'utilisation des boutiques tierces.

両セキュリティ研究者は、悪意のあるアプリがAppleの審査プロセスに定期的に侵入しており、悪意のあるアプリストアが通過を許可される可能性があると述べている。そして彼らは、プライバシーへの懸念はサードパーティストアの利用状況を追跡したいというAppleの意向によるものだと主張している。

"L'échec qui expose les utilisateurs de l'UE au suivi est le résultat de l'insistance d'Apple à s'interposer entre les places de marché et leurs utilisateurs", ont affirmé Bakry et Mysk. "C'est pourquoi Apple doit transmettre un identifiant aux places de marché afin qu'elles puissent identifier les installations et peut-être mieux calculer les frais Technology Core Facility (CTF) dus."

「EUユーザーが追跡にさらされるという失敗は、マーケットプレイスとユーザーの間に割って入るというAppleのこだわりの結果だ」とバクリ氏とミスク氏は主張した。 「これが、Appleがマーケットプレイスに識別子を渡す必要がある理由です。そうすれば、マーケットプレイスは施設を識別し、おそらく支払うべきテクノロジーコアファシリティ（CTF）料金をより正確に計算できるようになります。」

Ils exhortent les utilisateurs iOS en Europe à utiliser Brave plutôt que Safari, car la mise en œuvre de Brave vérifie l'origine du site Web par rapport à l'URL pour empêcher le suivi intersite.

Brave の実装では Web サイトの発信元を URL と照合してクロスサイト追跡を防止するため、欧州の iOS ユーザーには Safari ではなく Brave を使用するよう勧めています。

À l'époque où Apple envisageait de ne pas prendre en charge les applications Web de l'écran d'accueil en Europe (un pari qui a ensuite été abandonné après les plaintes des développeurs et la pression réglementaire), le géant de l'informatique justifiait sa position en affirmant que la quantité de travail requise "n'était pas pratique compte tenu des autres exigences du DMA". En ne faisant pas d'effort supplémentaire pour mettre en œuvre en toute sécurité des boutiques d'applications tierces, Apple a sans doute transformé ses préoccupations en matière de sécurité et de confidentialité en une prophétie auto-réalisatrice.

Apple がヨーロッパでホーム画面の Web アプリをサポートしないことを検討していたとき (この賭けは、開発者の苦情と規制の圧力を受けて後に放棄されました)、コンピューティング巨人は、必要な作業量は「他の要件を考慮すると現実的ではない」と主張して自社の立場を正当化しました。 DMAの」。サードパーティのアプリストアを安全に実装するための特別な努力を怠ったことで、Apple はセキュリティとプライバシーへの懸念を自己実現的な予言に変えてしまったのは間違いありません。

Dans ses commentaires sur la conformité au DMA, Apple a déclaré : "Dans l'UE, la sécurité, la confidentialité et la sûreté de chaque utilisateur dépendront en partie de deux questions. Premièrement, les places de marché alternatives et les processeurs de paiement sont-ils capables de protéger les utilisateurs ? Et, deuxièmement, le sont-ils ? intéressé à le faire ?"

AppleはDMA遵守に関するコメントの中で、「EUでは、各ユーザーのセキュリティ、プライバシー、安全性は、部分的には2つの問題に依存するだろう。1つ目は、代替マーケットプレイスや決済処理業者はユーザーを保護できるのか?そして2つ目だ」と述べた。 、彼らはそうすることに興味がありますか？

On peut également se demander si Apple est capable de protéger les utilisateurs, et si cela l'intéresse.

また、Apple がユーザーを保護する能力があるのか​​、またそのことに気を配っているのか疑問に思うこともできます。

Apple n'a pas répondu à une demande de commentaire.

アップルはコメントの要請に応じなかった。