MacのQuick Look（クイックルック）キャッシュを削除すべき理由とクリア方法

システムキャッシュの多くは、定期的に削除する必要がありません。しかし、macOSの「Quick Look（クイックルック）」キャッシュのように、放置すると問題が生じるケースもあります。このキャッシュは、暗号化されたディスク上のファイルのプレビュー画像を漏洩させてしまう可能性があるのです。

macOSでQuick Lookキャッシュを削除すべき理由

Quick Lookのキャッシュには、暗号化ファイルのプレビューが暗号化されていない状態で保存されることがあります。その結果、十分な知識を持った第三者が、ファイル自体を復号することなく、暗号化ファイルの中身を覗き見できてしまうのです。セキュリティを重視するユーザーにとっては、キャッシュをこまめに削除することが推奨されます。

Quick Lookの中核となるサービスは「com.apple.quicklook.ThumbnailsAgent」です。このサービスはシステム内を巡回してサムネイル画像を生成し、それらをSQLiteデータベースに保存します。このデータベースは、どのユーザーでもアクセス可能な場所にあります。さらに厄介なことに、このキャッシュには、ユーザーが実際にQuick Lookで閲覧したかどうかにかかわらず、すべてのファイルのプレビューが保存されます。

キャッシュは「/var/folders」ディレクトリ内に格納されています。その中から下図のような「com.apple.QuickLook.thumbnailcache」というフォルダを見つける必要があります。

これは本当に問題なのか？

暗号化データの漏洩は、どのような形であれ好ましいものではありません。特に懸念されるのは画像ファイルです。画像は縮小サイズでも内容を推測できることが多く、情報漏洩につながりやすいためです。Quick Lookで一度もプレビュー表示されていない画像の場合、サムネイルの長辺は128ピクセル程度ですが、一度閲覧された画像はその約3倍の解像度でキャッシュされます。

画像以外のファイルについては、Finderで表示されるアイコンのサムネイルが保存されます。たとえばTXTやRTFファイルなら、折り返したページにテキストが表示されるようなアイコンです。以下は、そのようなキャッシュされたプレビューの一例です。

この脆弱性について最近記事を執筆したセキュリティ研究者によると、元のファイルを削除した後もサムネイルは残り続けるとのことです。さらに、USBメモリなどの外付けドライブを抜き取った後も、Quick Lookのプレビューは保存されたままになります。つまり、USBメモリをMacに接続すると、取り外した後も痕跡が検出可能な形で残るということです。元のファイルがすでにシステムからアクセスできない状態であっても、プレビューからその内容に関する情報が漏れてしまう恐れがあるのです。

macOSでQuick Lookキャッシュを削除する手順

1. 「アプリケーション／ユーティリティ／ターミナル.app」からターミナルを起動するか、Spotlightで「ターミナル」と入力して開きます。

2. 以下のコマンドをターミナルに貼り付け、「Enter」キーを押して実行します。これにより、Quick Lookサービスが即座に停止され、キャッシュファイルが削除されます。

qlmanage -r cache

macOSでQuick Lookキャッシュを無効化する方法

上記のコマンドを実行すればQuick Lookのキャッシュは空になりますが、機能を有効のままにしている限り、キャッシュは暗号化の有無にかかわらずすぐに蓄積を始めてしまいます。

そこで、キャッシュ機能を恒久的に無効化するのが効果的です。Quick Lookの動作がわずかに遅くなる可能性はありますが、既存の脆弱性を回避できます。Quick Lookキャッシュを永久に無効にするには、ターミナルで次のコマンドを実行してください。

qlmanage -r disablecache

後になってキャッシュ機能を再度有効にしたい場合は、「disablecache」の代わりに「enablecache」コマンドを使用します。

まとめ

この脆弱性は、いずれAppleによって修正されるかもしれません。しかし、Appleが長期間対応しなかったため、コンピュータフォレンジックの専門家たちの間では、画像を抽出する確実な手法として認知されています。より高いセキュリティを求めるなら、定期的に実行するスクリプトを組むか、USB機器を取り外した後に手動でキャッシュを削除する習慣をつけるとよいでしょう。