piyolog

piyokangoの備忘録です。セキュリティの出来事を中心にまとめています。このサイトはGoogle Analyticsを利用しています。

MDMで管理された3万台超の端末で意図せず発生した強制ロックについてまとめてみた

2021年10月18日、アイキューブドシステムズは同社が提供するMDMサービス「CLOMO」を利用する一部の端末で、意図せず端末がロック状態となる事象が発生したことを公表しました。ここでは関連する情報をまとめます。

端末が突如使えなくなる

  • 利用者、管理者が意図していないにもかかわらずCLOMOで管理されたモバイル端末が強制ロック状態となる事象が発生した。端末がロック状態となると「CLOMO MDMによりロックされています」と画面に表示され通常の操作ができない。同サービスは法人向けサービスとして提供されており、NTTドコモやKDDIで同サービスを利用する一部のユーザーでも影響が及んだと報じられた。*1
  • 暫定対処として、ロック状態となった場合は、CLOMOの管理コンソールからロック解除のコマンド実行を行うことで解除を行うことが出来ると案内。その後同社からもロック解除のコマンドが実行されている。

強制ロックの影響を受けた状況を整理すると次の通り。

影響を受けた台数 約32,000台
影響を受けた組織数 約40組織
影響を受けた時間 最大約9時間
2021年10月17日22時頃~10月18日7時頃
影響を受ける条件 Android端末、かつローカルロック機能が有効
ワクチン接種記録システムの端末でも発生
  • デジタル庁はワクチン接種記録システムで利用されるNTTドコモ提供の一部タブレットでロック状態となることが発生していると報告。当初再起動により復旧すると案内していたが、その後はロック解除の措置をデジタル庁側で講じたことを明らかにしている。
  • 報道によれば影響を受けた台数は約2万台とされ、アイキューブドシステムズが公表した影響台数の6割以上を占めることとなる。*2

原因はGoogleの証明書有効期限切れ

  • CLOMOのローカルロック機能が動作し端末がロック状態となっていた。同機能は端末が第三者により不正な改ざんが行われている、またはその恐れのある状態を検知した場合に動作するよう実装されている。
  • アイキューブドシステムズは「そのような状態」となった原因について、Googleの提供するSafetyNet Attestation APIで証明書の有効期限切れが生じたためとしている。このAPIはアプリが実行されるAndroid端末が正規なものであるか検証する不正利用検出システムの一部として利用されるもの。APIより署名された構成証明*3が提供されるが、この際に使用される証明書で有効期限切れが発生し、その結果検証に失敗する状態となっていた。
  • Google側で生じた問題を受け、アイキューブドシステムズはGoogle側によって問題が既に解消されその対象期間から影響が限定的であったこと、そしてCLOMO側はセキュリティ機能として正常に動作したと説明。但し、サービス品質向上に向けGoogleと協力すると表明している。

関連タイムライン

日時 出来事
2021年10月17日? GoogleのSafetyNet Attestation APIで利用する証明書の有効期限切れが発生。
2021年10月17日22時頃~翌7時頃 一部のCLOMO管理端末で強制ロック状態が発生。
2021年10月18日 4時17分 GoogleがSafetyNet Attestation APIで証明書の有効期限切れが生じていると報告。
同日 8時27分 GoogleがSafetyNet Attestation APIが正常に復旧したと報告。
同日 11時2分頃 アイキューブドシステムズがロック解除コマンドを発行。ロック状態の端末を順次解消。*4
同日 アイキューブドシステムズが一部のCLOMO管理端末で強制ロック状態が発生していたことを公表。
2021年10月20日 アイキューブドシステムズが続報を発表。Googleの証明書有効期限切れが原因と公表。

更新履歴

  • 2021年10月21日 AM 新規作成
  • 2021年10月21日 AM 記事タイトルを修正

*1:ドコモやKDDIの法人向け端末トラブル、外部企業の不具合原因か…国の接種記録システムも影響,読売新聞,2021年10月18日

*2:コロナワクチン記録で一時障害 端末2万台、操作不能,東京新聞,2021年10月19日

*3:構成証明は端末上のソフトウェア、ハードウェアを検査し完全性の問題有無と確認し、承認済のAndroid端末の基準データと比較し作成される。

*4:アイキューブドシステムズの「CLOMO MDM」でトラブル、ドコモの法人向け携帯やワクチン接種記録のタブレットに影響,ケータイwatch,2021年10月18日