「Appleに脆弱性を報告しても放置される」問題は本当になくなったのか?「Appleセキュリティバウンティ」は改善したのか【第2回】

セキュリティ研究者の間で、「Appleセキュリティバウンティ」におけるAppleの応対が改善したという意見がある一方、懸念点も指摘されている。何が問題なのか。

2022年05月17日 08時15分 公開
[Alexander CulafiTechTarget]

関連キーワード

Apple | 脆弱性


 Appleのバグ報奨金・脆弱(ぜいじゃく)性報告プログラム「Apple Security Bounty」(ASB:Appleセキュリティバウンティ)における同社の応対の改善を、複数のセキュリティ研究者が好意的に感じている。ミニブログ「Twitter」で「08Tc3wBB」と名乗る匿名の研究者も、「Appleの応対にはこのところ、全体的に改善がみられる」と語る。

 「素っ気ない自動応答メッセージと、それ以降は何カ月もの沈黙が続くだけだった」。ASBが一般の研究者から報告を受け付けるようになる前の2016、2017年におけるAppleの反応を、08Tc3wBB氏はそう振り返る。

 2020年に入るとその状況に変化が表れた。Appleは最初の返信後すぐに、追加のメールを送るようになった。その変化を08Tc3wBB氏は、米TechTargetへのメールにこう記した。

 メールは「Apple Product Security Teamの担当者があなたの報告を受け取りました」という内容で、その担当者の名前も添えられています。これは自動返信botに応対されるよりも、ずっと感じがいいものです。以後はこの状態が続いています。私はコミュニケーションに関して、Appleが改善を果たしたと受け止めています

Appleは脆弱性ごとに態度を変える?

 研究者のサウラブ・サンクワール氏も同様に、「Appleのコミュニケーションはある程度改善された」と評価する。一方で自身の経験から、同社のコミュニケーションの質は「脆弱性の種類に左右される」とみている。これは単に「脆弱性の重大さ」だけでなく、「脆弱性が存在する同社製品の種類」にもよるという。

 もし「iPad」「MacBook」といったApple製品に関連する脆弱性であれば、重大な脆弱性であってもなくても、「恐らく48時間以内に返答がある」とサンクワール氏は述べる。一方で同社傘下企業のWebサイトに関連する脆弱性の場合は、Appleの担当者が返答するまで「2カ月は待たされる可能性がある」と同氏は言う。

 サンクワール氏は、Appleの子会社Claris InternationalのWebサイトに関する脆弱性を例に挙げる。同氏はこの脆弱性を2021年5月にAppleに報告した。2022年2月にAppleから功績認定に関する問い合わせがあり、2022年4月現在いまだに報奨金の支払いを待っている状況だ。

 「iOS」「macOS」専門のセキュリティ研究者であるボイチェフ・レグラ氏も、Appleの応対には脆弱性ごとに多少のばらつきがあることを指摘する。「重要度の高い脆弱性の方が、重要度の低い脆弱性よりもAppleの応対が早い」というのがレグラ氏の見解だ。Appleが「素晴らしいコミュニケーション」(同氏)を取りながらすぐに修正した脆弱性もあれば、適切なコミュニケーションがなく、修正が一向に進まない脆弱性もあったという。

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

ITmedia マーケティング新着記事

news070.jpg

Xの「いいね!」非公開化 イーロン・マスク氏の真の狙いは?
Xが「いいね!」を非公開化するアップデートを実施した。狙いの一つは、Xユーザーが他人...

news025.png

「ECプラットフォーム」売れ筋TOP10(2024年6月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。

news176.jpg

「伊右衛門」「日清麺職人」「鍋キューブ」に見る2024年上半期食品・飲料トレンドは「うま濃い余韻」
食品メーカーの商品開発やマーケティング支援などを行う味香り戦略研究所は、2024年の食...