2022年05月17日 08時15分 公開
特集/連載

「Appleに脆弱性を報告しても放置される」問題は本当になくなったのか?「Appleセキュリティバウンティ」は改善したのか【第2回】

セキュリティ研究者の間で、「Appleセキュリティバウンティ」におけるAppleの応対が改善したという意見がある一方、懸念点も指摘されている。何が問題なのか。

[Alexander Culafi,TechTarget]

関連キーワード

Apple | 脆弱性


 Appleのバグ報奨金・脆弱(ぜいじゃく)性報告プログラム「Apple Security Bounty」(ASB:Appleセキュリティバウンティ)における同社の応対の改善を、複数のセキュリティ研究者が好意的に感じている。ミニブログ「Twitter」で「08Tc3wBB」と名乗る匿名の研究者も、「Appleの応対にはこのところ、全体的に改善がみられる」と語る。

 「素っ気ない自動応答メッセージと、それ以降は何カ月もの沈黙が続くだけだった」。ASBが一般の研究者から報告を受け付けるようになる前の2016、2017年におけるAppleの反応を、08Tc3wBB氏はそう振り返る。

 2020年に入るとその状況に変化が表れた。Appleは最初の返信後すぐに、追加のメールを送るようになった。その変化を08Tc3wBB氏は、米TechTargetへのメールにこう記した。

 メールは「Apple Product Security Teamの担当者があなたの報告を受け取りました」という内容で、その担当者の名前も添えられています。これは自動返信botに応対されるよりも、ずっと感じがいいものです。以後はこの状態が続いています。私はコミュニケーションに関して、Appleが改善を果たしたと受け止めています

Appleは脆弱性ごとに態度を変える?

 研究者のサウラブ・サンクワール氏も同様に、「Appleのコミュニケーションはある程度改善された」と評価する。一方で自身の経験から、同社のコミュニケーションの質は「脆弱性の種類に左右される」とみている。これは単に「脆弱性の重大さ」だけでなく、「脆弱性が存在する同社製品の種類」にもよるという。

 もし「iPad」「MacBook」といったApple製品に関連する脆弱性であれば、重大な脆弱性であってもなくても、「恐らく48時間以内に返答がある」とサンクワール氏は述べる。一方で同社傘下企業のWebサイトに関連する脆弱性の場合は、Appleの担当者が返答するまで「2カ月は待たされる可能性がある」と同氏は言う。

 サンクワール氏は、Appleの子会社Claris InternationalのWebサイトに関する脆弱性を例に挙げる。同氏はこの脆弱性を2021年5月にAppleに報告した。2022年2月にAppleから功績認定に関する問い合わせがあり、2022年4月現在いまだに報奨金の支払いを待っている状況だ。

 「iOS」「macOS」専門のセキュリティ研究者であるボイチェフ・レグラ氏も、Appleの応対には脆弱性ごとに多少のばらつきがあることを指摘する。「重要度の高い脆弱性の方が、重要度の低い脆弱性よりもAppleの応対が早い」というのがレグラ氏の見解だ。Appleが「素晴らしいコミュニケーション」(同氏)を取りながらすぐに修正した脆弱性もあれば、適切なコミュニケーションがなく、修正が一向に進まない脆弱性もあったという。

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

ITmedia マーケティング新着記事

news102.jpg

営業デジタル化を加速するクラウド顧客獲得ツール「nocoセールス」でできること
営業の人的リソースが足りない組織が短いサイクルで顧客を効率的に獲得する仕組みを作る。

news007.jpg

富士通の「デジタルセールス」が目指すこと
この連載のタイトルにあるように、富士通はインサイドセールスのことを「デジタルセール...

news154.jpg

ナイキ vs アディダス Z世代の心をつかむアプローチの違い
有名人や人気ファッションブランドとのコラボに加え、環境や社会問題への取り組みなど、...