Google Play、サードパーティー製の音声通話録音アプリを 5 月 11 日以降禁止

2022年4月23日 19:11

Google Play でサードパーティー製の音声通話録音アプリが 5 月 11 日以降禁止となることが明らかになった (Ars Technica の記事、 9to5Google の記事、 Android Police の記事、 The Register の記事、動画)。

変更は 4 月 6 日に公開された Google Play デベロッパープログラムポリシー更新に含まれていたのだが、「Accessibility API は、リモート通話の音声録音用には設計されておらず、そのようなリクエストを受けることもできません。」とのみ記載されており、対象が明確になっていなかった。

しかし、Google が 20 日に YouTube で公開した「Google Play Developer Policy Updates — April 2020 (ママ)」によると、対象となるのは音声通話の相手に知らせず録音することで、録音のために Accessibility API を使用するすべてのアプリは 5 月 11 日以降禁止されるという。

一方、端末にプリインストールされたデフォルトのダイヤラーアプリは通話相手の音声ストリーム取得に Accessibility API を必要としないため、対象外とのことだ。

「白紙」の万能署名が作れるJavaの脆弱性「Psychic Signatures」

スラド

著者: headless

2022年4月23日 17:18

Oracle が 4 月のアップデートで修正した Java SE と GraalVM Enterprise Edition の脆弱性 (CVE-2022-21449) について、発見した ForgeRock の Neil Madden 氏が英 BBC の SF ドラマ「ドクター・フー」に登場する「サイキックペーパー」にちなんだ「Psychic Signatures」と名付けている (Madden 氏のブログ記事、 Ars Technica の記事、 The Register の記事)。

ドクター・フーのサイキックペーパーは白紙のカードだが、相手に見せたい任意の内容を表示できるというもの。一方、Psychic Signatures 脆弱性は楕円曲線デジタル署名アルゴリズム (ECDSA) 署名検証の脆弱性により、攻撃者が「白紙」の署名を使用して容易に認証をバイパスできるというものだ。

具体的には ECDSA 署名を構成する 2 つの値 (r、s) はいずれも 0 であってはならないが、影響を受けるバージョンの Java が実装する署名検証ではこれらの値が 0 でないことを確認しない。そのため、攻撃者は両方の値を 0 にした署名を作ることで、任意のメッセージと任意の公開鍵に対する有効な署名として利用できる。

Oracle では影響を受けるバージョンを Java SE: 17.0.2 / 18、GraalVM Enterprise Edition 21.3.1 / 22.0.0.2 としているが、サポートの終了した Java SE 15 /16 にも脆弱性は存在する。OpenJDK では影響を受けるバージョンを 15 / 17 / 18 としている。なお、この脆弱性の CVSS スコアを Oracle が 7.5 と評価するのに対し、ForgeRock では満点の 10.0 と評価しているとのことだ。

Apple、macOS Server の販売を終了

スラド

著者: headless

2022年4月23日 15:25

日本向けのサポート記事にはまだ反映されていないが、Apple が「macOS Server」アプリケーションの販売を 21 日に終了したと発表した (米国向けサポート記事、 Ars Technica の記事、 9to5Mac の記事、 The Register の記事)。

Apple は Mac ユーザーが主要なサーバー機能を追加料金なく利用できるよう macOS Server から macOS へ機能を移動するとともに、macOS Server ではオープンソースサービスの削除を進めてきた。これにより、macOS Server 5.12 以降に組み込まれているサービスはプロファイルマネージャと Open Directory のみになっている。既存の macOS Server ユーザーは引き続きアプリをダウンロードしてmacOS Montereyで利用できるが、プロファイルマネージャに関しては他の MDM ソリューションへの移行を促している。

多額の盗難被害を出したブロックチェーンワレットアプリ、シードフレーズを無断で保存していたと指摘される

スラド

著者: headless

2022年4月23日 13:32

ブロックチェーンワレットアプリの MetaMask は 18 日、アプリのデータを iCloud にバックアップした場合の危険性について注意喚起した (HackRead の記事、 9to5Mac の記事、 MetaMask のツイート)。

これは Apple を名乗る電話を受けた MetaMask ユーザーが Apple ID パスワードリセットの確認コードを教えてしまい、総額 65 万ドル相当の暗号通貨や NFT を失ったという報告を受けたものだ。

MetaMask によればアプリデータの iCloud バックアップにはパスワードで暗号化された MetaMask 保管庫データが含まれ、パスワードの強度が低い場合はフィッシングで iCloud の認証情報が奪取されると資金を盗まれることになるという。

しかし、ワレットの鍵であり、MetaMask が保存しないと説明しているシードフレーズが実際にはファイルに保存されていたとの指摘もあり、被害にあったユーザーは無断保存を批判している。

すべて読む | セキュリティセクション | セキュリティ | バグ | 暗号 | お金 |

米 CDC、マスク義務付けを無効と判断された裁判で控訴

スラド

著者: headless

2022年4月23日 11:39

米疾病予防センター (CDC) は 20 日、連邦地裁がマスク義務付けを無効と判断した裁判の控訴手続きを進めるよう司法省 (DOJ) に要請したことを明らかにした (ニュースリリース、 Ars Technica の記事)。

連邦地裁では根拠となる法律の適用対象にならないこと、適切な意見募集を行わなかったこと、マスクを着用すべき適切な理由を説明していないことを理由にマスク義務付けの取り消しを命じている。一方、CDC は引き続きインドアの公共交通機関でマスク着用を推奨しており、義務付けを継続する必要があるかどうかの評価も続けていく。

CDC では人混みや換気の悪い空間でのマスク着用は感染防止に効果があり、よくフィットするマスクで鼻と口を覆うことは免疫力が低下した人やまだワクチンが接種できない人を含め、着用者と周囲の人々の両方を守ることができると説明。マスク義務付けは公衆衛生を守るという CDC の権限の範囲内であり、合法的だとの見解を示している。これを受けて DOJ は控訴の手続きを開始したとのことだ。

すべて読む | YROセクション | 検閲 | YRO | 法廷 | 医療 | アメリカ合衆国 |

IoT企業が突然夜逃げ、スマート家電が機能不全に

スラド

著者: nagazou

2022年4月23日 08:09

IoTサービスを提供していた企業が突然、夜逃げのような状態になり、企業が管理していた家電などの設定やスイッチ類の使用に影響が出るという問題が発生していたそうだ（Stacey on IoT、Ars Technica、GIGAZINE）。

問題となっているのはInsteon社のスマートホームシステムで、インターネットに接続された照明やプラグ、センサーなどを提供していた。ところが、4月15日頃から突然システムが機能しなくなったという報告がユーザーから相次いでいたという。Iot関連のレポーターであるStacey Higginbotham氏は、Smartlabsの社長に連絡をしたものの、メールや電話も音信不通状態であったようだ。音信不通と同時にサーバーもダウンしており、アプリも機能しなくなっていることから、一部の家電の詳細設定も変更できなくなっているトラブルも起きていた模様。

あるAnonymous Coward 曰く、

大手メーカー以外のスマート家電はこういうことがあり得るのがリスキーであろう。

元オリンピック選手の飛行機墜落動画、米FAAは意図的に事故を起こしたと認定

スラド

著者: nagazou

2022年4月23日 07:06

1月に元オリンピック・スノーボーダーのトレバー・ジェイコブ（Trevor Jacob）氏が、Youtubeに飛行機墜落の動画をアップして炎上、FAAの調査対象にになったという話題を取り上げた。この件では同氏が自身のYouTubeチャンネルでのアクセス数を増やすために、意図的に墜落事故を発生させたのではないかとする疑惑が持たれていたが、米New York Timesによると、米連邦航空局（FAA）はこの事故を意図的なものと認定したようだ。記事によると11日にFAAは、同氏に書簡で航空規則違反の通告をしたとされる（New York Times、Jalopnik、Engadget）。

具体的には「他人の生命や財産を危険にさらすような無謀な方法で飛行機を操縦した」と通告、同時に彼のパイロット免許を取り消した模様。仮にジェイコブ氏がパイロット免許を引き渡さない場合、FAAは1日最高1644ドルの罰金を科すことができるとのこと。

すべて読む | ITセクション | YouTube | IT |

英運輸省、自動運転車でドライバーが映画鑑賞できるようにする道路交通法改正を計画

スラド

著者: nagazou

2022年4月23日 06:02

headless 曰く、

英運輸省は 20 日、自動運転車の導入に向けた道路交通法改正計画を発表した (ニュースリリース、 The Guardian の記事 [1]、 [2]、 The Register の記事)。

改正は意見募集の結果を踏まえたもので、現在の自動運転システムは自動車線維持など運転補助のレベルであることから、自動運転モード時にもドライバーが常に対応可能な状態であるべきことを明確にするという。その一方で、ドライバーはダッシュボード組み込みのディスプレイで運転に関係のないコンテンツを閲覧可能になる。ただし、携帯電話の使用はドライバーの集中力を大きく低下させることから、自動運転モード時にも引き続き使用が禁じられる。英国では年内に最初の自動運転システムが認可される見込みとのことだ。

すべて読む | idleセクション | 映画 | テレビ | 英国 | idle | ロボット | 交通 |

米国、21日発表の軍事支援でウクライナ専用ドローン「Phoenix Ghost」を提供へ

スラド

著者: nagazou

2022年4月23日 05:35

米バイデン大統領は21日、ウクライナに対して新たな8億ドルの追加支援を行うと発表した。この追加支援には、ウクライナの要求に応えて開発した専用のドローンが121機以上含まれているという。このドローンは「Phoenix Ghost」という名称となっており、米空軍とAEVEX Aerospace社が共同で開発したものだとされる（Breaking Defense、Air Force Magazine）。

Phoenix Ghostは、すでに米国がウクライナに供与した無人攻撃機スイッチブレード（Switchblade）と類似した使い捨ての攻撃型ドローンだとされている。両者にどのような違いがあるかの詳細やPhoenix Ghostの名前の由来については公開されていない。また今回、AEVEX Aerospaceが果たした役割についても不明。ウクライナのオペレーターはSwitchblade使い方を理解していることから、最小限のトレーニングでPhoenix Ghostの運用が可能になるとしている。

すべて読む | 軍事 | アメリカ合衆国 |

リーディングビュー