「具体的にどのようなデータがサードパーティーベンダーに送信されるのか」という問題は残る。Appleでソフトウェアエンジニアリング担当シニアバイスプレジデントを務めるクレイグ・フェデリギ氏は、WWDCの講演で「ユーザーのアプリケーション使用に関するデータの一部はサードパーティーベンダーに送信されるだろう」と述べた。Sign In with Appleが「OAuth」や「SAML」（Security Assertion Markup Language）といった認証の標準仕様を用いるのか、商用システムを使用するのかも不明だ。

　「Appleユーザーとして、個人のメールアドレスを匿名化して保護してくれるサービスの考え方は、大いに気に入っている」と、認証技術ベンダーOneSpan（旧VASCO Data Security International）のシニア製品マーケティングマネジャー、サム・バッケン氏は語る。その上でバッケン氏は「メールマガジンの購読をやめてしまえば、サードパーティーベンダーにアドレスを知らせる必要はなくなるが、セキュリティが向上するとは言えない」と述べている。

　バッケン氏によれば、企業が従業員のID管理にSign In with Appleを利用する場合も、厄介な問題が起こりそうだという。「私としては、個人用と仕事用に別々のApple IDが欲しくなる。仮にそれが可能だとしても、その使い分けは面倒になるだろう」と同氏は話す。2019年6月時点、1つのiOS搭載デバイスで複数のApple IDのサインインはできない。

セキュリティを重視したSSO

　サードパーティーベンダーに提供するデータの制限は、ユーザーのプライバシー向上につながる可能性がある。一方でこの制限により、サードパーティーベンダーにとってSign In with Appleを実装するインセンティブは低くなりそうだ。

　Appleには、同社が提供するデバイスで動くアプリケーションの要件を定義する権利がある。そのため、アプリケーション開発に関する規約「App Store Reviewガイドライン」に新しい項目を追加した。サードパーティーベンダーに対し、以下を要求している。

• アプリケーションがSSO機能を提供する場合、Sign In with Appleをオプションとして追加すること
• Sign In with Appleのサインインボタンを、競合SSOの上に配置し、そのボタンの大きさを、他のオプションのボタンと同等以上にすること

　製品の調査・比較を事業とするComparitechでプライバシー推進担当者を務めるポール・ビスチョフ氏は、Sign In with Appleの機密性が高いことを称賛する。一方で「もし導入が義務付けられていなければ、アプリケーションに導入するサードパーティーベンダーは多くないだろう」との見方を示す。「サードパーティーベンダーにとって、ユーザーの追跡や広告のターゲティングに使えるメールアドレスなどの個人情報が、手に入りづらくなる恐れがあるからだ」とビスチョフ氏は説明する。

　「Sign In with Appleの実装により、AppleがGoogleとFacebookに対抗しようとしているのは確かだ」とビスチョフ氏は話す。同氏は、AppleがSSO市場で有力ベンダーの一角を占めるようになる可能性が高いとみている。Appleの公式アプリケーションストア「App Store」で提供される、SSO機能を持つアプリケーションは、Sign In with Appleを実装する必要があるからだ。加えて、Appleほどの企業規模で、かつプライバシー重視をうたったSSOを提供する企業はほとんどないことも理由になる。「現在、インターネットやデジタルデバイスに関する、プライバシーやセキュリティを心配する人は少なくない。彼らにとって、Sign In with Appleは非常に魅力的なオプションだ」（同氏）

Appleが「ベンダーにデータを収集させる」

　セキュリティコンサルティング企業Rebecca Herold & Associates（Privacy Professorの名称で知られる）のCEOであるレベッカ・ヘロルド氏は、Sign In with Appleに幾つかの問題があると指摘する。「プライバシー分野では、他のオプションがあるにもかかわらずベンダーが特定サービスの使用を要求するのは、常に大問題だ」とヘロルド氏は述べる。

　Sign In with Appleを採用したサードパーティーアプリケーションを通じて、AppleはiOS搭載デバイスを使う多様な個人の認証情報を集めることが可能になる。「さらにはそうしたユーザーが、どのアプリケーションをいつ、どこで、どのくらいの頻度で使うかを追跡するさまざまなデータを収集することも可能になるだろう」と、ヘロルド氏は予測する。技術的な観点では、アプリケーションの実装にSign In with Appleは必須ではない。サードパーティーベンダーに対して、アクセス資格情報や関連情報の収集に利用する製品を作らせるのは「力ずくの行動に見える」（同氏）。

　サードパーティーアプリケーションの間でSign In with Appleを採用する動きが広がると、これらのアプリケーションに認証機能が使用される他のアプリケーションへの不正アクセスのリスクが大幅に高まることも、ヘロルド氏は懸念している。

ユーザーの行動を変えられるか

　調査会社Forrester Researchのリサーチバイスプレジデントを務めるメリット・マキシム氏の見解では、「サードパーティーベンダーに送るデータは制限するものの、Appleがユーザーデータを集めることに代わりはない」という。

　Sign In with Appleは、従来のSSOサービスとは異なるプライバシー保護のアプローチを取っている。その結果、Appleはユーザーがどこで、どのアプリケーションで認証するかを知ることになる。「そのため、ユーザーの行動は完全に匿名化されるわけではない」とマキシム氏は説明する。

　マキシム氏によれば「Sign In with Appleがユーザーの行動を変えられるかどうか」、特に「既存のWebサービスでユーザー名とパスワードを作成済みのユーザーが、行動を変えるかどうか」がポイントになるという。ソーシャルログインは何年も前に登場した技術だが、「実際の導入状況は依然として『まだら模様』だ」と同氏は語る。「ユーザーは特に具体的なインセンティブがないと行動を変えたがらないからだ」（同）