macOS Mojave:アプリのプライバシー向上によりアプリ障害が増加

毎年、Appleは楽しくて便利なコンシューマー向けの新機能をプラットフォームに盛り込んでいます。さほど楽しくはありませんが重要な点として、セキュリティ機能や企業向け機能を利用できることもAppleユーザーにとっての利点です。

macOS Mojaveリリースは、アプリまわりの重要な変更に関して、多くの企業の注目を集めています。この更新により、Mac上のアプリはiOS上のアプリと同様に動作するようになりますが、企業のIT部門は迅速にこのための準備をする必要があります。現在macOSを社内に導入している場合はぜひご一読ください。アプリの動作はこの変更に大きく左右されます。

ユーザーがmacOS Mojaveにアップグレードすると、アプリはこれまで通りには動作しない可能性があります。なぜなら、これまでMacにインストールされていたアプリケーションには、アプリケーションの実行に必ずしも必要ではない多くの特権がありました。たとえば、ファイル、カメラ、マイクなどへのアクセスです。このようなアプリの一部がブラウザ履歴を詐取してアップロードしていることは最近になって明らかとなりましたが、Appleはこの問題を解決したようです。macOS Mojaveの新しいプライバシー機能を解説したAppleのリリースノートをこちらからご覧ください。 

システム管理で使われる一部のファイルやアプリケーションのデータにアプリがアクセスすることを許可できるようになりました。たとえば、アプリがカレンダーデータにアクセスすることを求めてきた場合、そのリクエストを許可することも拒否することもできます。MDM の管理者は、Privacy Preferences Policy Control ペイロードを使ってこうしたリクエストを管理することができます。詳しくは、Configuration Profile Referenceを参照してください。」

これは、企業にとって何を意味するのでしょうか?この発表には2つのポイントがあります。

  1. これまでユーザーの許可なしに「アプリケーション」データを使用していたアプリケーションも、明示的にユーザーの承認を要求する必要があります。ユーザーが拒否した場合、アプリケーションは通常どおりの動作を継続できない場合があります。 WWDCでも、アプリケーションのアップグレードによってユーザー体験を改善する方法が、アプリケーション開発者向けに紹介されました。
  2. 個々のユーザーが許可の選択に責任を持つ必要はありません。多くの場合、Appleが提供するMDM設定で、IT部門がユーザーに代わってアプリケーションへの実行時許可を行うことができます。これによりユーザーはシームレスにアプリケーションを利用し、IT部門は許可したアプリにのみ必要な許可を与えることができます。他のアプリはユーザーのマイクやカメラなどにアクセスできません。

このような許可のオプションをユーザーではなくIT部門が扱えば、無許可の会議アプリや他のマルウェアがデバイスのマイク、カメラ、ファイルにアクセスするのを防ぐことができます。

システムイベントへの許可を求めるアプリケーション

IT担当者は、許可済みのアプリケーションのみにシステムファイルへのアクセスを制限することも可能です。この例では、アプリケーションがどのようにIT部門にとって都合の悪いシステムイベントへの許可を求めるかをご紹介しています。

ユーザーはたくさんの通知で混乱し、うっかり企業データを危険にさらす選択をしてしまうことがあります。そのような場合、IT部門はただちに是正策を取る必要があります。新しいMDM設定は、そのようなオプションをエンドユーザーから見えなくすることで、危険やリスクを軽減します。

MobileIronでPrivacy Preferences Policy Controlを配布してIT部門がmacOS上で許可の選択をできるようにすれば、企業はAppleの新しい機能を十分に役立てることができます。しかし、もう少し準備に時間が必要であれば、このアップグレードを90日間延期するオプションをMDMで選択することもできます。

保護対象のデータ:

  • アドレス帳 - Contactsアプリが管理する連絡先情報
  • カレンダー - Calendarアプリが管理する予定表情報
  • リマインダー - Remindersアプリが管理するリマインダー情報
  • 写真 - Photosアプリが管理する写真(~/Pictures/.photoslibrary)
  • カメラ - カメラへのアクセス許可はプロファイルで付与できず、拒否のみ可能
  • マイク - マイクへのアクセスはプロファイルで付与できず、拒否のみ可能
  • アクセシビリティ - Accessibilityサブシステムを経由したアプリケーションの制御
  • PostEvent - アプリケーションがCoreGraphics APIを使用してCGEventsをシステムイベントストリームに送信することを許可
  • SystemPolicyAllFiles - アプリケーションがすべての保護ファイル(システム管理ファイルを含む)にアクセスすることを許可
  • SystemPolicySysAdminFiles - アプリケーションがシステム管理に使用される一部のファイルにアクセスすることを許可
  • AppleEvents - 制限付きのAppleEventを別のプロセスに送信することを許可

今後は、さらに多くのセキュリティ機能がMobileIronのようなMDMまたは統合エンドポイント管理(UEM)プロバイダーを通じて設定可能となると予想されます。他の新しいOSと同様、macOSも攻撃の標的となります。企業におけるMacの使用が増えている現在、UEMプラットフォームを通じたMacエンドポイントのセキュリティは、後回しにできません。iOS 12の新しい企業向け機能とその重要性については、こちらをご覧ください。