今秋のiOS 27、設定不備のサーバー接続を拒否する可能性

何が変わるのか

Apple Supportによると、iOS、iPadOS、macOS、watchOS、tvOS、visionOSの27.0以降では、古いTLS設定や要件に合わない設定のサーバーへの接続を拒否する可能性がある。26.4以降では警告を記録して接続する場合があるが、27ではエラーになり停止し得る。

対象となる通信

対象はMDM、Declarative Device Management、自動デバイス登録、構成プロファイルのインストール、企業向け配布を含むアプリのインストール、ソフトウェアアップデートである。通常のアプリAPI通信が一律に対象になるわけではない。SCEPとコンテンツキャッシュも明示的に除外される。

要求されるTLS設定

TLS 1.2以上が必要で、Appleは1.3を推奨する。1.2を使う場合はECDHEによる前方秘匿性、AES-GCM系のAEAD、RFC 7627のextended master secretも必要になる。証明書はRSA 2048ビット以上またはECDSA 256ビット以上、葉証明書の署名はSHA-2が求められる。

事前監査の方法

Appleは、26.4以降の代表的なテスト端末にNetwork Diagnostics Logging Profileを入れ、通常の登録・インストールを実行してsysdiagnoseを収集する手順を示している。ログでATS ViolationやATS FCPv2.1 violationを探し、個別のホストはnscurl --ats-diagnosticsで確認できる。役割の異なる端末を一台ずつ試す必要がある。

外部ベンダーが最大のリスク

Appleは、外部ベンダーが管理するサーバーの修正には時間がかかる可能性があると注意している。自社のロードバランサーなら直せても、MDM事業者、アプリ配布事業者、更新されない機器では問い合わせ、契約交渉、移行が必要になる。

利用者に見えること

会社や学校に管理されていない端末の利用者には通常変化はない。管理対象端末では、27に移行した後、アプリやアップデートのインストールが失敗する可能性がある。原因は端末ではなく、組織が接続先のTLS設定を直せるかどうかにある。