DEPは「iOS」や「macOS」のデバイスをMDMシステムに自動で登録するサービスだ。

　Appleはデバイスに割り当てられたシリアル番号のアクティベーションレコードをデータベースで管理している。AppleがDEP APIでデバイスのレコードを作成し、利用企業はそのデバイスを自社のMDMサーバに割り当てる。MDMサーバはデバイスのレコードを取得してDEPプロファイルを作成する。デバイスはシリアル番号でDEP APIの認証を受け、アクティベーションレコードを取得する。

　ここで問題なのは、デバイスが非公式のAPIを通してシリアル番号を提示するようになっている点だ。シリアル番号はブルートフォース（総当たり）攻撃の影響にさらされる。これがAppleのDEPでセキュリティの問題が発生する理由だ。攻撃者は不正に入手したシリアル番号を使ってデバイスを企業のMDMサーバに登録し、企業の機密情報を窃取できる。

　ITコンサルティング会社MCPcのCTO（最高技術責任者）であるアイラ・グロスマン氏は、「AppleはDEPのデバイス登録手段としてシリアル番号以外の方法を検討すべきだ」と述べた。例えば、Microsoftが提供するWindowsデバイス登録サービス「Windows Autopilot」では、スクリプトから生成したハードウェアハッシュをデバイスの認証に使用している。

　Duo Securityのエンジニアで今回の脆弱性の発見に協力したジェームズ・バークレー氏は次のように述べている。「組織がデバイスを適切に認証するには2つの対策が必要だ。1つはMDMシステムに登録するプロセスにおいてエンドユーザーの認証を必須にすること、もう1つはMDMシステムに登録済みという理由だけで信頼できるデバイスと見なさないことだ」

　AppleはDEPとアプリ配信プログラム「Volume Purchase Program」を組み合わせたサービス「Apple Business Manager」のドキュメントで、このようなベストプラクティスを推奨しているが、バークレー氏は認証の重要性をもっと強調すべきだと指摘する。

スミス氏はDEPの認証の問題を回避する最終責任は組織のIT管理者にあると指摘する。企業のMDMシステムにアクセスできるのはIT管理者だからだ。

　「AppleがIT管理者への指導に当たることを期待するのは、この問題を解決する正しいやり方ではない」（スミス氏）

欠陥か、それとも機能か

　Appleはこの問題について脆弱性ではなくDEPの機能の一つだと主張している。これに賛同するIT担当者もいる。

　南イリノイ大学エドワーズビル校でIT管理者を務めるマラカス・スコット氏は「これを欠陥と呼ぶこともできるが、一つの利点と見なすこともできる」と話す。同氏は以前からこの問題に気付いており、「私から見れば、準備不足またはDEPの仕組みについて理解不足だ」という。

　同校ではエンドユーザーがMDMシステムの「Jamf」にデバイスを登録する前に、ユーザー名とパスワードを入力するよう求めていた。しかし最近これを廃止した。デバイスを登録する前にユーザーの認証を義務付けると、デバイスの紛失や盗難が発生した場合、デバイスの捜索に必要な情報をIT管理者が取得できなくなってしまうからだ。

　同校では、デバイスの登録後にユーザー認証するネイティブアプリを開発している。これを導入すれば、デバイスを盗まれてもIT管理者がデバイスの位置情報やIPアドレスを取得して警察に提供することができる。シリアル番号を使った認証のセキュリティ問題を解決することにはならないが、デバイスに個人情報を保存しないことからリスクが抑えられるという。

　経験の浅いIT管理者なら、DEPにある認証の問題を回避するためにセキュリティ対策を追加しようとは考えないかもしれない。

　「DEPを利用して簡単に機能を導入できるのは素晴らしいことだ。ただ、デバイスを盗んで組織の情報を入手しようとする者がいたら問題だ。だからDEPのシステムを分析してリスクを理解しなければならない」（スコット氏）

　この脆弱性があるからといって同校がDEPの利用をやめることはないという。「私たちはDEPを中心とするプログラムを多数開発した。もしこのサービスがなかったら、こうした機能は実現できなかっただろう」（スコット氏）