「Appleに脆弱性を報告しても放置される」問題は本当になくなったのか？

セキュリティ研究者の間で、「Appleセキュリティバウンティ」におけるAppleの応対が改善したという意見がある一方、懸念点も指摘されている。何が問題なのか。

公開 2022年05月17日 08時15分

著者

Alexander Culafi

[TechTarget]

印刷する連載新着通知を受け取る

　Appleのバグ報奨金・脆弱（ぜいじゃく）性報告プログラム「Apple Security Bounty」（ASB：Appleセキュリティバウンティ）における同社の応対の改善を、複数のセキュリティ研究者が好意的に感じている。ミニブログ「Twitter」で「08Tc3wBB」と名乗る匿名の研究者も、「Appleの応対にはこのところ、全体的に改善がみられる」と語る。

　「素っ気ない自動応答メッセージと、それ以降は何カ月もの沈黙が続くだけだった」。ASBが一般の研究者から報告を受け付けるようになる前の2016、2017年におけるAppleの反応を、08Tc3wBB氏はそう振り返る。

　2020年に入るとその状況に変化が表れた。Appleは最初の返信後すぐに、追加のメールを送るようになった。その変化を08Tc3wBB氏は、米TechTargetへのメールにこう記した。

メールは「Apple Product Security Teamの担当者があなたの報告を受け取りました」という内容で、その担当者の名前も添えられています。これは自動返信botに応対されるよりも、ずっと感じがいいものです。以後はこの状態が続いています。私はコミュニケーションに関して、Appleが改善を果たしたと受け止めています

Appleは脆弱性ごとに態度を変える？

併せて読みたいお薦め記事

Appleの脆弱性との向き合い方

　研究者のサウラブ・サンクワール氏も同様に、「Appleのコミュニケーションはある程度改善された」と評価する。一方で自身の経験から、同社のコミュニケーションの質は「脆弱性の種類に左右される」とみている。これは単に「脆弱性の重大さ」だけでなく、「脆弱性が存在する同社製品の種類」にもよるという。

　もし「iPad」「MacBook」といったApple製品に関連する脆弱性であれば、重大な脆弱性であってもなくても、「恐らく48時間以内に返答がある」とサンクワール氏は述べる。一方で同社傘下企業のWebサイトに関連する脆弱性の場合は、Appleの担当者が返答するまで「2カ月は待たされる可能性がある」と同氏は言う。

　サンクワール氏は、Appleの子会社Claris InternationalのWebサイトに関する脆弱性を例に挙げる。同氏はこの脆弱性を2021年5月にAppleに報告した。2022年2月にAppleから功績認定に関する問い合わせがあり、2022年4月現在いまだに報奨金の支払いを待っている状況だ。

　「iOS」「macOS」専門のセキュリティ研究者であるボイチェフ・レグラ氏も、Appleの応対には脆弱性ごとに多少のばらつきがあることを指摘する。「重要度の高い脆弱性の方が、重要度の低い脆弱性よりもAppleの応対が早い」というのがレグラ氏の見解だ。Appleが「素晴らしいコミュニケーション」（同氏）を取りながらすぐに修正した脆弱性もあれば、適切なコミュニケーションがなく、修正が一向に進まない脆弱性もあったという。