MDMで管理された3万台超の端末で意図せず発生した強制ロックについてまとめてみた

2021年10月18日、アイキューブドシステムズは同社が提供するMDMサービス「CLOMO」を利用する一部の端末で、意図せず端末がロック状態となる事象が発生したことを公表しました。ここでは関連する情報をまとめます。

端末が突如使えなくなる

利用者、管理者が意図していないにもかかわらずCLOMOで管理されたモバイル端末が強制ロック状態となる事象が発生した。端末がロック状態となると「CLOMO MDMによりロックされています」と画面に表示され通常の操作ができない。同サービスは法人向けサービスとして提供されており、NTTドコモやKDDIで同サービスを利用する一部のユーザーでも影響が及んだと報じられた。*1
暫定対処として、ロック状態となった場合は、CLOMOの管理コンソールからロック解除のコマンド実行を行うことで解除を行うことが出来ると案内。その後同社からもロック解除のコマンドが実行されている。

今朝病院来たらいきなりVRSの登録端末ロックされてるんだけどどうした#VRS pic.twitter.com/iMC2fDtlDj
— ﾚｯｻｰﾊﾟﾝﾀﾞは腹黒い (@natyu_pharma) 2021年10月17日

強制ロックの影響を受けた状況を整理すると次の通り。

影響を受けた台数	約32,000台
影響を受けた組織数	約40組織
影響を受けた時間	最大約9時間 2021年10月17日22時頃～10月18日7時頃
影響を受ける条件	Android端末、かつローカルロック機能が有効

ワクチン接種記録システムの端末でも発生

デジタル庁はワクチン接種記録システムで利用されるNTTドコモ提供の一部タブレットでロック状態となることが発生していると報告。当初再起動により復旧すると案内していたが、その後はロック解除の措置をデジタル庁側で講じたことを明らかにしている。
報道によれば影響を受けた台数は約2万台とされ、アイキューブドシステムズが公表した影響台数の6割以上を占めることとなる。*2

現在、ドコモ社が提供する一部のタブレットにおいて、「CLOMO MDMによりロックされています」と表示され、操作できない状況が発生しています。
VRSのタブレットでも一部発生しております。現在、ドコモ社にて順次、対応、復旧中です。ご迷惑をおかけし、誠に申し訳ございません。
— ワクチン接種記録システム（VRS）- 認証バッジ申請中 (@VRS_JAPAN) 2021年10月18日

原因はGoogleの証明書有効期限切れ

CLOMOのローカルロック機能が動作し端末がロック状態となっていた。同機能は端末が第三者により不正な改ざんが行われている、またはその恐れのある状態を検知した場合に動作するよう実装されている。
アイキューブドシステムズは「そのような状態」となった原因について、Googleの提供するSafetyNet Attestation APIで証明書の有効期限切れが生じたためとしている。このAPIはアプリが実行されるAndroid端末が正規なものであるか検証する不正利用検出システムの一部として利用されるもの。APIより署名された構成証明*3が提供されるが、この際に使用される証明書で有効期限切れが発生し、その結果検証に失敗する状態となっていた。
Google側で生じた問題を受け、アイキューブドシステムズはGoogle側によって問題が既に解消されその対象期間から影響が限定的であったこと、そしてCLOMO側はセキュリティ機能として正常に動作したと説明。但し、サービス品質向上に向けGoogleと協力すると表明している。

日時	出来事
2021年10月17日？	GoogleのSafetyNet Attestation APIで利用する証明書の有効期限切れが発生。
2021年10月17日22時頃～翌7時頃	一部のCLOMO管理端末で強制ロック状態が発生。
2021年10月18日 4時17分	GoogleがSafetyNet Attestation APIで証明書の有効期限切れが生じていると報告。
同日 8時27分	GoogleがSafetyNet Attestation APIが正常に復旧したと報告。
同日 11時2分頃	アイキューブドシステムズがロック解除コマンドを発行。ロック状態の端末を順次解消。*4
同日	アイキューブドシステムズが一部のCLOMO管理端末で強制ロック状態が発生していたことを公表。
2021年10月20日	アイキューブドシステムズが続報を発表。Googleの証明書有効期限切れが原因と公表。