マイクロソフトは「Windows Mobile」を製造し、スマートフォンに早い時期から取り組んでいたものの、少なくとも「Windows Phone 7」をリリースした2010年末時点では、AppleのiOS、Googleのアンドロイド双方に遅れを取っていました。
これまでのところ、Windows Phoneはニッチなステータスしか勝ち得ていませんが、それでもマイクロソフトに対して慈善事業をしているのではない組織や個人からの評価や、批評家の称賛は得ていました。これまでのところ支持者は少ないものの、消費者、開発者両方が興味を示しており、マイクロソフトは市場でライバルに追いつくために、速いペースでのリリースを継続する決定をしたようです。
我々は「マーケティング・ブログ」ではなく「セキュリティ・ブログ」なので、Windows Phoneのセキュリティに関する影響について、現在、未来両方に関するお話をしたいと思います。
市場の万引き犯
AppleやGoogleのように、マイクロソフトはソフトウェアの流通に関し、アプリケーション・ストア方式を採用しています。
他のソースからのアプリケーション・インストールを試みWindows Phoneを「ルート」したり「ジェイルブレイク（脱獄）」することも可能ですが（実際マイクロソフトはそうしたハックを承認するためにある団体と協力しました）、Windows Phoneユーザーの多くは市場を経由するでしょう。
AppleやGoogle同様、マイクロソフトもアプリケーション・ストアでどのような種類のアプリケーションを販売するかに関しポリシーを持っています。また、先に述べたベンダーAppleやGoogleのように、マイクロソフトもアプリケーションを監督する努力をしています。
市場からアプリケーションを削除するのに加えて、マイクロソフトはWindows Phoneに既にインストールされているアプリケーションを遠隔で削除することができます。
これはマイクロソフト側にしてみれば押しつけがましさという不安材料を生むかもしれませんが、AppleやGoogleが自社のスマートフォンにできることと変わりありません。
アプリケーション削除するという決断に至るまでには時間がかかる可能性があります。削除指示後、Windows Phoneがそのリクエストを受信するまでにもしばらく時間がかかる可能性があり、その間にも望ましくないアプリは市場に存在し続けます。
マイクロソフトは、提出されたアプリケーションをレビューし、きちんとポリシーを適用しているように思えます。2012年1月現在、市場には60,000以上のアプリケーションが存在しますが、ESETではその内のたった４つのみ、ストアから削除されたと認識しています。
• 値段$0.99の偽のSpotify音楽ストリーミング・アプリケーション（本物のSpotifyアプリは無料で入手可能）
• 値段$1.99の偽のGoogle Chrome ブラウザ。インターネット・エクスプローラーで閲覧、背景をGoogle Chromeっぽく見せているだけのもの。
• 開発者ポリシー違反のため、アンチウィルス・アプリケーションがマイクロソフトにより削除。
• 人気のあるゲームのクローンが、商標登録違反により削除。
これらはとても小さなサンプルデータですが、60,000個のアプリケーション中の4個というと、「良いアプリ対悪いアプリ比率は」1:15,000という比率になります。「潜在的に望まれないアプリケーション」と我々が呼ぶものに市場で遭遇する可能性は非常に低いですが、攻撃者はインストール数を稼ぐため、人々を誘導しインストールさせようと、人気のある、もしくはリクエストの多いアプリケーションを模倣する可能性もあります。
上記４つの望まれていないアプリに関して心に留めておくべきことは、これらのうちどれも、古典的な感覚では「悪意のある」ものではないということです。それらはコンピューターウィルスを含んでいませんし、ワームでもボットでも、トロイの木馬でもありません。
Windows Phoneのデザインは、アプリケーションが基本的なオペレーティング・システムから、そしてアプリケーション間互いに、極めて区分化されています。古典的タイプの脅威はWindows Phoneに当てはまらない、もしくは、少なくとも多くは見られないことを意味します。
削除された４つのアプリケーションのうち、２つは純然たるスキャムで、明らかにそのようなアプリのゴロツキ開発者のためにお金を発生させるよう設計されたものです。
１つはポリシー違反のために削除され（オペレーティング・システムに既に存在する重複する機能、というのが理由として示されています）もう１つは商標違反でした。後者には悪意があるのか疑わしいですが、市場から削除されたので含めています。
現在のところWindows Phoneには古典的なアンチ・マルウェア・ソフトウェアへの必要性はないように見える一方、こうしたタイプのアプリケーションが承認をくぐり抜けた事実は、Windows Phoneのユーザーは、自分の端末に何をインストールをするか注意しなければならないことを示します。
信用の悪用に関する考察
悪名高い銀行強盗ウィリー・サットンは（不正確かもしれないと付け加えておきますが）、銀行強盗をするのは「そこに金があるからだ」と言ったといわれています。
上記４つのアプリケーションが我々に示すのは、Windows Phoneのような新しい環境を攻撃したいと思っている輩は、必ずしも古い方法を用いて（昔流行った寄生ファイル感染型ウイルスや大量メール送信型のワームなど）攻撃を実行するわけではないということです。
実際、攻撃者があなたのお金を狙っているとしても、直接Windows Phoneを攻撃するわけではないかもしれません。
デジタル証明書が、時には地味な方法で、時にはあらゆる人に影響を及ぼす方法で悪用されうる事例を、私たちは長年ESET脅威Blogでお伝えしてきました。
デジタル証明書詐欺の仕組みについては今回の記事のテーマではないですが、デジタル証明書とはビルを構成するブロックのようなもの、自動的に信頼が置かれるべきものであり、例えば銀行のサイトへアクセスする場合に接続が安全に行われたか、もしくは何かをダウンロードした際それが開発者により制作されて以降、修正が加えられたりしておらず完全なままの状態か等を判断するものです。
Webサイト接続時に無効な証明書であったり、プログラムが改鼠されている場合、サイトを訪問したりプログラムを実行しようとすると、何らかの警告が表示されます。
Windows Phone市場はアプリ上でデジタル証明書を処理しますが、それはWindows Phone所有者にとりわかりにくく、良いか悪いかは「どこかよその場所で」議論すればよい問題となっています。
もしスマートフォンをお持ちなら、何らかの形でインターネットを使うでしょう。金融機関のサイトにアクセスしたり、オンラインショッピングをしたり、メールやソーシャルメディアにアクセスしたりするには、安全な接続が必要となります。そうした安全な接続を可能とするのが、デジタル証明書です。
2011年3月、デジタル証明書ベンダー「Comodo」は、マイクロソフト（及びその他のウェブブラウザ・ベンダー）に、自社システムがハッキングされ、WindowsLive (Hotmail)、Google、Yahoo!、Skypeその他のサービスへログインするための、偽のデジタル証明書発行に利用されたと通知を行いました。
マイクロソフトを含めた様々なベンダーが、下記のような勧告を出しました。
・マイクロソフト・セキュリティ・アドバイザリー(2524375)不正なデジタル証明書により、なりすましが許可される可能性
・MozillaセキュリティBlog：Firefoxは不正な証明書をブロックしました
それらの大部分に関しては、至急アップデートやパッチ、その他の技術的な手段が講じられ、ユーザーのウェブブラウザを守るためのフォローアップが行われました。
パッチの難問
マイクロソフトは最初のWindows Phoneアップデートを約1カ月前、Comodoの通知の前に公開したばかりでしたが、その2，3日後にはパッチ・プロセスの不具合が見つかり、アップデートを停止しました。さらにその後、Windows Phone v7.0.7392へのアップデート用セキュリティ・パッチのリリース要求が、プロセスの混乱に拍車をかけました。
iPhoneを製造し、iPhoneに関するアップデート・リリースに唯一責任を負うAppleとは異なり、MicrosoftはHTC、ノキア、サムソンといった携帯端末メーカー、そしてAT&T、Bell、Optus、O2、Verizon、Vodafoneといった、数多くのモバイル運営業者双方と仕事をしなければいけません。
スマートフォンのアップデート・リリースは非常に高くつきますが、Windows Phoneも例外ではありません。マイクロソフト、携帯端末メーカー、そして通信キャリアはアップデートを行う際、ちゃんと動くか、ソフトウェア同志、もしくは端末メーカーや通信キャリアがカスタマイズしたソフト同士が干渉し合わないか、デザリングや3G接続等が行われた際、アップデートの信頼性が確保できるか等、テスティングとバリデーションにかなりの資源を投入し、協調して作業を行わなければなりません。
こうしたテスティングの過程で不具合が起こると、全員一緒に原因を追究し、修正し、再度その修正をテストする作業を経ることになります。テスティングとパッチ・リリース後に不具合が見つかると、お客様はうまく動かない電話を手にすることになり、通信キャリア、端末メーカー双方に出費がかさみ、市場での評判も悪化します。
デスクトップ・オペレーティング・システム（およびその他スマートフォン）ユーザーがウェブブラウザを数日以内にパッチした一方、アップデートの検証確認のために生じた遅延は2011年の春の間中ずっとと夏に入るまで続き、マイクロソフト、携帯端末メーカー、通信キャリアは怒りに満ちた顧客の相手をする事態となりました。
マイクロソフトはとうとう「私の電話のアップデートはどこ？」という婉曲的なネーミングのサイトにマトリクスを掲載し、機種ごと、そしてどのキャリアごとに、いつアップデートがリリースされるかを掲載する手段に訴えました。
これらのページは今はもうマイクロソフトにはありませんが、アーカイブのコピーは米国内はこちら、それ以外はこちらで見ることができます。
マイクロソフトはこうした教訓を真摯に受け止め、次のWindows Phoneオペレーティング・システムの大きなアップデートでは(Version 7.5, コードネーム 「マンゴー」)、顧客対応も非常にスムーズに運び、2011年秋には数週間の内に、全てのWindows Phoneへのアップデートがインストールされました。
しかしマイクロソフトは、「マンゴー」リリース後、Windows Phoneへのアップデート詳細情報に関し、今後は情報共有を行わないと発表しました。
Windows Phoneは今後ももちろんマイクロソフトがアップデートを行いますが、今後は「Windows Phoneアップデート・ヒストリー」というウェブサイトへアクセスして確認し、モバイル運営業者や端末メーカーへアップデートがあるかどうか（もしくはその時期）を問い合わせるのは、所有者の責任となります。
Windows Phoneへ新しいフィーチャーや機能を追加した場合は問題ないかもしれません。おもちゃは常に新しいものが良く、またそのようなフィーチャーがないと最悪の場合、生産性の低下に繋がる可能性もあります。Windows Phoneの信頼性と安定性に影響を与える非セキュリティ関連バグを修正する場合は、はるかに急を要します。悪用されているのがセキュリティの脆弱性である場合は、対策が急務です。
Windows Phoneの次のメジャー・アップデートは7.6 (コードネーム「Tango」)で、それは端末メーカー、通信キャリア、および電話所有者のために多くの新機能を追加したものになります。ですがそれらは「進化」であり「革命」ではありません。
次のWindows Phone8に乞うご期待、といったところでしょうか。
未知の世界
Windows Phone8（コードネーム「アポロ」）は、Windows Phoneの次期メジャーバージョンですが、マイクロソフトがこのところ話題にしているWindows8デスクトップとタブレットバージョンの仲間の一種です。
マイクロソフトはWindows Phone 8をしっかりとベールの下に隠しており、Windows Phone8についての実際の情報を集めるより、憶測する方がはるかに簡単な状況となっています。Windows Phone8が前世代のようなものであれば、Windows Phoneブランドを成長させ、新たなアプリやサービスを登場させることとなり、素晴らしく有益ですが、その内いくつかに関しては、光のスペクトラムで言うなら悪い波長の端っこのようなものとなるかもしれません。
携帯端末メーカー、モバイル通信事業者、開発者そして消費者と企業ユーザーのニーズのバランスを取るという難しいことを行いながら、マイクロソフトは今後どの程度これら多様なセキュリティ問題を論じていくのでしょうか。
マイクロソフトはWindows Phone用のセキュリティ・パッチ適用というラフなスタートを切りましたが、これまで私が見てきた限り、パッチ・プロセスを非常にうまく改良してきています。アンドロイド端末メーカーは、マイクロソフトの教訓から学ぶことができるでしょう。
しかしセキュリティ勧告や脆弱性のパッチには常に迅速な対応が求められ、マイクロソフトとその関連取引先企業群は、Windows Phone顧客が最新の脅威から保護された状態を確認できる均衡地点で、おそらくうまくバランスを取ってやってゆけるでしょう。
個人的に私はマイクロソフトは成功するとは思いますが、Windows Phone8が最初にセキュリティの脆弱性をパッチされるまで、確かなことはわかりません。
出典：blog.eset.com
