iPhoneの脆弱性に1億円、macOSも報告対象に　Appleがバグ報奨金を大幅変更

Appleはバグ報奨金プログラムの対象を「macOS」の脆弱（ぜいじゃく）性にも拡大し、同時に報奨金を引き上げる方針だ。脆弱性の種類によっては、報奨金の金額は100万ドルにもなる。

公開 2019年09月14日 08時30分

著者

Michael Heller

[TechTarget]

印刷する

　Appleが初めてバグ報奨金プログラムを発表したのは2016年、セキュリティカンファレンス「Black Hat 2016」の会場だった。そして2019年、同社はこのプログラムの対象に「macOS」を加え、「iOS」向けの報奨金を引き上げると発表した。同社でセキュリティのエンジニアリングとアーキテクチャの責任者を務めるアイバン・クリスティッチ氏は、この大ニュースを「Black Hat 2019」でのプレゼンテーションの最後に発表した。

併せて読みたいお薦め記事

セキュリティのトレンドをチェック

「iOS 12」の機能を知る

バグ報奨金プログラムの対象拡大

　Appleはバグ報奨金プログラムの対象を、幅広いApple製品に拡大させる。これまでの対象はiOSと、Appleのクラウドサービス「iCloud」だけだったが、セットトップボックス「Apple TV」用OSの「tvOS」や、スマートウォッチ「Apple Watch」用OSの「watchOS」、macOSも対象に加える。

　「これまでは影響の大きい脆弱（ぜいじゃく）性に範囲を絞り、一部の研究者のみに限定していたが、非常に価値の高い報告が約50件寄せられた。これをさらに拡大し、2019年秋からはAppleセキュリティプログラムを全ての研究者に開放する」。クリスティッチ氏は壇上でこう述べた。

　Appleは一部の研究者に、同社が使用している開発モデルと同様のiOSデバイスを提供するという。クリスティッチ氏はこうしたデバイスがなければ報奨金プログラム参加の障壁になると認める。同社はこの新プログラム「iOS Security Research Device」を2020年に申し込み制で開始する。クリスティッチ氏は申し込み要件を明言しなかったが「何らかのプラットフォームに対する質の高いシステムセキュリティ研究実績」（同氏）があれば誰でも検討対象になるという。

　iOS Security Research Deviceへの参加を認められた研究者に対して、Appleは「製品用でも開発用でもない新しい研究用」（クリスティッチ氏）デバイスを提供する。このデバイスはリモート操作でコマンドを実行するSSH（Secure Shell）、root（管理者権限を持つユーザー）で使えるシェル、デバッグ機能が利用できるという。

　「他社製品の研究に時間を費やしてきた研究者を引き寄せたい」とクリスティッチ氏は語る。そうした研究者たちからは「Apple製品を研究したくても、ハードルが高過ぎる」という声が寄せられているという。「彼らは全ての機能を入手しないと研究に着手することすらできない」（同氏）

脆弱性によっては報奨金が1億円に

　Appleはバグ報奨金プログラムのカテゴリの改訂と範囲拡大も実施した。クリスティッチ氏が公表したカテゴリの大分類は「物理アクセスを介する攻撃、」「ユーザーがインストールしたアプリケーションを介する攻撃」「インタラクションを要するネットワーク攻撃」「インタラクションを要さないネットワーク攻撃」だ。Appleはこれらのカテゴリごとに10万ドル（約1080万円）から始まる報奨金を用意し、「高価値ユーザーデータへのゼロクリックアクセス」を発見した研究者には50万ドル（約5400万円）を支払う。

　「さらにもう一段階加える」とクリスティッチ氏は述べる。指定開発者限定のβ版など、リリース前の製品で見つけた未発見の脆弱性を一般公開前にAppleに報告した場合、これらの報奨金に50％のボーナスを上乗せする。

　クリスティッチ氏は、ユーザーを介在させずに管理権限を奪う「ゼロクリック」形式のiOS向けエクスプロイト（脆弱性悪用プログラム）には100万ドル（約1億800万円）の報奨金を支払うと発表した。ボーナスの話より後にこの話が出たため、これにもボーナス上乗せがあるのかどうかははっきりしない。　セキュリティ企業Bugcrowdの創業者で最高技術責任者（CTO）のケイシー・エリス氏は「Appleの動きは、危険な脆弱性発見のためにバグ報奨金プログラムを標準化する流れを表す」と話す。Appleが報奨金を100万ドルにまで引き上げたのは「企業として成熟した表れであると同時に、自らが影響力の強い標的であることも示している」とエリス氏は続ける。

　バグ報奨金プログラムにmacOSを加えることについては、2019年2月、18歳の研究者ライナス・ヘンゼ氏がゼロデイ攻撃の脆弱性を公表したことで話題となった。ヘンゼ氏が発見したのは、機密情報の管理領域「キーチェーン」からパスワード、秘密鍵、トークンを抽出できる脆弱性だった。Appleに先に報告することなくこの脆弱性の存在を公表したのは、同社のバグ報奨金プログラムがmacOSを対象としていないことへの抗議だとヘンゼ氏は述べていた。

印刷する