セキュリティ研究者の間で、「Appleセキュリティバウンティ」におけるAppleの応対が改善したという意見がある一方、懸念点も指摘されている。何が問題なのか。
Appleのバグ報奨金・脆弱(ぜいじゃく)性報告プログラム「Apple Security Bounty」(ASB:Appleセキュリティバウンティ)における同社の応対の改善を、複数のセキュリティ研究者が好意的に感じている。ミニブログ「Twitter」で「08Tc3wBB」と名乗る匿名の研究者も、「Appleの応対にはこのところ、全体的に改善がみられる」と語る。
「素っ気ない自動応答メッセージと、それ以降は何カ月もの沈黙が続くだけだった」。ASBが一般の研究者から報告を受け付けるようになる前の2016、2017年におけるAppleの反応を、08Tc3wBB氏はそう振り返る。
2020年に入るとその状況に変化が表れた。Appleは最初の返信後すぐに、追加のメールを送るようになった。その変化を08Tc3wBB氏は、米TechTargetへのメールにこう記した。
メールは「Apple Product Security Teamの担当者があなたの報告を受け取りました」という内容で、その担当者の名前も添えられています。これは自動返信botに応対されるよりも、ずっと感じがいいものです。以後はこの状態が続いています。私はコミュニケーションに関して、Appleが改善を果たしたと受け止めています
研究者のサウラブ・サンクワール氏も同様に、「Appleのコミュニケーションはある程度改善された」と評価する。一方で自身の経験から、同社のコミュニケーションの質は「脆弱性の種類に左右される」とみている。これは単に「脆弱性の重大さ」だけでなく、「脆弱性が存在する同社製品の種類」にもよるという。
もし「iPad」「MacBook」といったApple製品に関連する脆弱性であれば、重大な脆弱性であってもなくても、「恐らく48時間以内に返答がある」とサンクワール氏は述べる。一方で同社傘下企業のWebサイトに関連する脆弱性の場合は、Appleの担当者が返答するまで「2カ月は待たされる可能性がある」と同氏は言う。
サンクワール氏は、Appleの子会社Claris InternationalのWebサイトに関する脆弱性を例に挙げる。同氏はこの脆弱性を2021年5月にAppleに報告した。2022年2月にAppleから功績認定に関する問い合わせがあり、2022年4月現在いまだに報奨金の支払いを待っている状況だ。
「iOS」「macOS」専門のセキュリティ研究者であるボイチェフ・レグラ氏も、Appleの応対には脆弱性ごとに多少のばらつきがあることを指摘する。「重要度の高い脆弱性の方が、重要度の低い脆弱性よりもAppleの応対が早い」というのがレグラ氏の見解だ。Appleが「素晴らしいコミュニケーション」(同氏)を取りながらすぐに修正した脆弱性もあれば、適切なコミュニケーションがなく、修正が一向に進まない脆弱性もあったという。
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2024年10月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...
堀江貴文氏のラジオ局と業務提携 売れるネット広告社がマス媒体に進出
売れるネット広告社は、実業家の堀江貴文氏が代表取締役会長を務める福岡県のラジオ局CRO...
AppleとMetaの戦い――AR・ウェアラブル領域で、勝つのはどっち?
Metaは年次イベント「Meta Connect 2024」において最新のARグラス「Orion」のプロトタイ...