【レポート】

iPhone、ブラウザのアドレスバーが"嘘UI"の可能性あり!?

 

SANS Institute Security Blogs

UI Spoofing Safari on the iPhoneにおいてセキュリティ研究者Nitesh Dhanjani氏がiPhoneのブラウザの動作が詐欺サイトの構築に悪用される可能性があることを指摘している。いつどのようにこの問題に対処するかはわからないということだが、Appleもこの問題については認識しており改善を検討しているようだ。

iPhoneのブラウザでWebページを表示させた場合、最初はアドレスバーが表示されているがスクロールすると消える仕組みになっている。これはモバイルデバイスという限られたサイズのスクリーンを最大限に活用するための機能。この機能はJavaScriptから制御することもでき、自動的にアドレスバーを隠すようにすることもできる。

デスクトップのブラウザはこうした動きをしないようになっている。通常、アドレスバーのテキストの内容を変更することはできないし、アドレスバーを隠すといったこともできないようになっている。この部分の変更を許可すると、悪意あるサイトに悪用され、閲覧しているURLとは違うURLを表示させて詐欺サイトとして活用される可能性があるからだ。

わかりやすいデモがhttp://www.dhanjani.com/iphone-safari-ui-spoofing/に掲載されている。このサイトをiPhoneのSafariで閲覧すると、一見普通のWebページが表示される。しかし、ページをスクロールしてみると、表示されているアドレスバーのさらに上に、本来のアドレスバーが隠れていることを確認できる。この機能を悪用されると、ユーザは別のサイトを本来のサイトだと信じこんで誤った操作を実施してしまう可能性がある。

デモサイト読み込み中

表示されたでもサイト - 一見すると普通のサイトに見える

しかしスクロールすると、さらに上部にアドレスバーがあることを確認できる

またiPhoneの提供している一貫したネイティブアプリUIも、これと同じような問題を抱えているという。iPhoneではネイティブアプリはフルスクリーンで動作する。このため、アプリ内でWebページを表示したいと考えた場合には、iPhone Safariを呼び出すのではなく、HTMLレンダリング用に提供されているクラスUIWebViewを利用することになる。問題はUIWebViewがURLを表示する仕様にはなっていないという点にある。つまり、ネイティブアプリから指定したURLのコンテンツをレンダリングしている場合には、iPhone Safariの場合と違ってユーザはそもそもアクセス先となるURLを判断できない。

Nitesh Dhanjani氏はこうした問題に対して、次の対策を提案している。

  • iPhone Safariにおいて任意のWebアプリがスクロールしてアドレスバーを隠すことができるという操作を制限した方がいいのではないか。
  • UIWebViewを使う場合にはどのサイトのデータかを示すようにアプリを作成した方がいいのではないか。

モバイルアプリにおいてはスクリーンサイズがきわめて重要な要素であり、現在iPhone Safariが実装している方法はその観点から言えば妥当なものといえる。Nitesh Dhanjani氏はそうした点も理解しており、Appleがより優れた解決方法を発見できるのであれば喜ばしいことだと説明している。

今のところユーザが実施できる対策としては、ほかのWebブラウザにおける対処方法と同じように、ユーザ名やパスワードの入力であるなど、なんらかの個人情報に関するデータの入力を求められる場合には、その表示されているアドレスバーが本物であるかスクロールして確認するとともに、URLをよくチェックする必要があるといえる。



転職ノウハウ

あなたが本領発揮できる仕事を診断
あなたの仕事適性診断

シゴト性格・弱点が20の質問でサクッと分かる!

「仕事辞めたい……」その理由は?
「仕事辞めたい……」その理由は?

71%の人が仕事を辞めたいと思った経験あり。その理由と対処法は?

3年後の年収どうなる? 年収予報
3年後の年収どうなる? 年収予報

今の年収は適正? 3年後は? あなたの年収をデータに基づき予報します。

激務な職場を辞めたいが、美女が邪魔して辞められない
激務な職場を辞めたいが、美女が邪魔して辞められない

美人上司と可愛い過ぎる後輩に挟まれるエンジニアの悩み

人気記事

一覧

イチオシ記事

新着記事

好きな人の物を盗むのは“あるある”?不倫×SF描く米代恭、村田沙耶香とトーク
[23:54 7/23] ホビー
[LoVendoЯ]ギター担当の魚住有希が9月卒業を発表 今後はギタリストとして海外での勉強も視野
[23:51 7/23] エンタメ
高田桂「あねコン」1巻、狐に憑かれた義姉とのラブストーリー
[22:41 7/23] ホビー
あの日あの時あのコンピュータ 第13回 「8ビット御三家」最終形への夜明け前(その2) - NEC「PC-8001」
[21:04 7/23] パソコン
『おそ松さん』よりひょこっとラバーストラップの第2弾が登場
[20:00 7/23] ホビー

求人情報