App Storeからアプリをダウンロードする消費者は、安全でないアプリを審査するAppleの承認プロセスに頼らざるを得ません。しかし、それでもAppleが重要な点を見逃していないという保証はありません。昨年だけでも、App Storeで数百ものアプリがプライベートAPIを使用してユーザーの個人情報を収集していることが判明しました。これはApp Reviewガイドラインに違反するものです。最近開始されたWill Strafach氏のVerify.lyサービスのパブリックベータテストは、一般消費者に「アプリへの警告ラベル」を提供することを目指しています。

Verify.ly を理解する最も簡単な方法は、Strafach 氏がメールで教えてくれた例え話を使うことです。アプリを本に例えると、競合サービスは本の「目次」を読むだけですが、Verify.ly は最初から最後まですべてを読みます。他のサービスがアプリが連絡先や位置情報にアクセスするかどうかを判断できるのに対し、Verify.ly はアプリが連絡先のどの部分（写真、名前、メールアドレスなど）を使用しているか、そして位置情報にいつアクセスしているか（フォアグラウンド、バックグラウンド、あるいは両方）を判断できます。

私は、現在最も人気のアプリの 1 つである Pokémon GO について Verify.ly が提供するレポートを見て、このサービスに飛び込んで直接調べてみることにしました。レポートを見ると、アプリがどのようなデータ アクセスを使用しているか、現在 App Transport Security (2017 年 1 月時点ですべてのアプリに必須となるもの) を実施しているかどうかを確認できます。レポートによると、Pokémon GO は (予想どおり) アプリを開いている間は GPS の位置情報を使用しますが、ネットワーク タスクを実行するときに暗号化 (ATS) を強制しません。ネットワーク タスクは日常的なユーザーにとっては「不可欠」とは考えられないかもしれませんが、ほんの数か月前にはサードパーティの Snapchat アプリが認証情報を収集したり、安全でない方法で認証情報を渡したりしている可能性があることが判明しました。アプリケーションがアカウントの作成とログインのためにインターネット経由で認証情報を送信する必要がある場合、暗号化されたネットワーク トラフィックは最低限の対策と見なす必要があります。

Verify.lyは個人向けに無料サービスとして提供されており、企業/エンタープライズ向けアプリ開発をターゲットとしたビジネスモデルとなっています。BYOD（個人所有デバイス）や会社所有環境の企業にとって、Verify.lyは企業環境内のデバイスが安全に動作していることを検証するために利用できます。MDMソリューションを提供する他の多くの企業は、インストールを許可するアプリを決定する際にホワイトリストまたはブラックリストシステムに依存しています。残念ながら、ホワイトリストに登録されたアプリが必ずしも安全であるとは限らないのが現状です。Verify.lyは、特定のアプリリストに対して一括分析を実行し、望ましくない動作を引き起こす可能性のあるアプリへのアクセスをブロックできます。

Verify.lyが運営するもう一つのビジネスモデルは、開発されたアプリがリリース前に安全であることを確認することです。多くの企業は、サードパーティにホワイトラベルソフトウェアの開発を委託し、その後、App Storeにリリースされる前にリブランドされます。契約内容によっては、ソースコードが必ずしも調査されない、あるいは確認されない場合もあります。

ストラファック氏は、このような状況では、セキュリティ上の問題が発生した場合、サードパーティ企業ではなく、メインの企業が責任を問われることになると指摘しています。Verify.lyは、これらのアプリケーションのセキュリティ監査を実施し、それが実際の脆弱性なのか誤検知なのかを検証することができます。ストラファック氏は、アプリが使用するサービスの難読化されていないAPIキーが公開され、悪意のあるユーザーがそのアプリを使い始める可能性があると説明しています。Verify.lyの分析により、このような事例を発見し、企業に状況を報告することができます。

Strafach氏はまた、現在App Storeで入手可能なセキュリティ違反アプリケーションのリストを公開しました。これらのアプリケーションは、それぞれが本来であれば制御不能な動作をします。これらのアプリケーションには、現在インストールされているアプリケーションのリストを読み取ったり、ユーザーの同意なしにサードパーティ製アプリをインストールしようとしたりするものが含まれます（iOS 8.x以降を搭載したデバイスでは、これはもはや不可能です）。

1. 捕鱼大赢家-专业真街机精品电玩合集(内含超热血多人打鱼，疯狂水浒传等游戏）
2. 胡涂
3. パネルアプリ – 報酬、賞品、ギフトカードがすべて無料

Verify.lyは現在、パブリックベータテストとして公開されており、レポートの閲覧数は制限されています。このプラットフォームで何ができるのかをまず理解していただくために、米国App Storeの売上トップ10アプリを以下にリストアップしました。

1. ポケモンGO
2. モバイルストライク
3. ゲーム・オブ・ウォー – 火の時代
4. Spotifyミュージック
5. パンドラ
6. キャンディ・クラッシュ・サーガ
7. ネットフリックス
8. クラッシュ・オブ・クラン
9. HBOナウ
10. ハースストーン：ヒーローズ・オブ・ウォークラフト

著者注: 9to5Mac で働く前は、MDM ソリューションに重点を置いた企業向けのモバイル ソフトウェア開発を主眼とする雇用主のもとで働いていました。

havebin.com を Google ニュース フィードに追加します。 

FTC: 収益を生み出す自動アフィリエイトリンクを使用しています。詳細はこちら。