Appleは「Appleセキュリティバウンティ」で脆弱性の報告を受け付け、報告者への応対の改善に取り組んでいる。一方でいまだに不信感を抱く研究者の声は消えない。どのような懸念があるのか。
Appleのバグ報奨金・脆弱(ぜいじゃく)性報告プログラム「Apple Security Bounty」(ASB:Appleセキュリティバウンティ)に対する、セキュリティ研究者のブランドン・ペリー氏の評価は、ある程度にとどまる。セキュリティコンサルティング企業Atredis Partnersのプリンシパルリサーチコンサルタントを務めるペリー氏は「自分が報告した脆弱性はどうなっているのか」をAppleに繰り返しメールで尋ねた。にもかかわらずAppleからは「何週間たっても返答がない」と、同氏は2022年2月にミニブログ「Twitter」で述べた。
ペリー氏が報告した脆弱性は、Appleが提供する音楽制作アプリケーション「GarageBand」「Logic Pro」に関するものだ。同氏はこれらの脆弱性の詳細を、自身のブログで公表している。同ブログによると、同氏はAppleに38件の問題を報告し、Appleはそのうち2件を「CVE-2022-22657」「CVE-2022-22664」という脆弱性だと判定した。これらの脆弱性を同氏がAppleに報告したのは2021年12月のことだ。
Appleがペリー氏に状況を説明したのは、同氏がTwitterで先述の発言をした直後だった。同氏の名は、2022年3月に同社が公開したセキュリティアップデートに記載されている。脆弱性が修正されるまで、Appleから情報を得ることは「非常に難しい」と同氏は語る。「『HackerOne』や『Bugcrowd』といった他のバグ報奨金プログラムの方が、反応が良く、双方向性がある」(同氏)
コミュニケーションは改善されても、Appleによる一貫性のないパッチ提供は、依然として研究者が不満を抱く原因になっている。例えば最近発覚した2件の脆弱性「CVE-2022-22674」「CVE-2022-22675」のパッチに関して、Appleは批判の的になった。この脆弱性は既に攻撃者が悪用しており、Appleは「macOS Monterey」と、「iOS」「iPadOS」の複数バージョン向けのパッチを公開した。だが同社は2022年4月時点で、「macOS Catalina」および「macOS Big Sur」用のパッチは公開していない。
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
認証情報の盗難やフィッシング攻撃が横行するなど、セキュリティの主戦場となりつつあるのがアイデンティティーだ。しかし現状では、多くの組織でIT環境やアイデンティティーが分散、断片化しており、セキュリティリスクが高まっている。
認証情報を悪用する攻撃が増加したことで、確実な本人確認の手段として、多要素認証の採用が急速に拡大した。ただ、近年はパスワードレス認証の台頭やデバイスの多様化などを受け、多要素認証にさらなるアップデートも求められている。
AIエージェントが急速に普及する一方で、人間中心に設計された従来型のアイデンティティー管理とアクセス制御では、セキュリティリスクの拡大を防ぎきれない恐れがある。そこで注目したいのが、生成AIに特化して開発された認証基盤だ。
ビジネスの主戦場がグローバル化する中、顧客を理解してニーズに対応することの重要性が高まっている。そこで注目されているのがカスタマーアイデンティティーとアクセス管理(CIAM)だ。本資料ではある調査を基にCIAMの重要性を解説する。
リモートワークやクラウドサービスの導入が拡大する中、ゼロトラストの重要性が高まっている。そして、その実現手段として注目されているのがSASEだ。本資料では、ゼロトラストの考え方やSASEの必要性などをマンガで解説する。
ファイアウォール管理不全が「抜け穴」に 今見直すべき海外拠点のセキュリティ (2025/8/26)
混雑や逆光に弱いウォークスルー顔認証、高精度と高速処理をどう実現するか (2025/8/13)
なぜクラウドセキュリティは複雑ではなく「包括的でシンプル」にすべきなのか? (2025/6/13)
「見える化」ではもう守れない アタックサーフェス管理の限界と次世代の対策 (2025/6/12)
中小企業が買うのは信用 L2スイッチ&認証技術で2つの企業が組んだ理由 (2025/6/5)
なぜクラウド全盛の今「メインフレーム」が再び脚光を浴びるのか
メインフレームを支える人材の高齢化が進み、企業の基幹IT運用に大きなリスクが迫っている。一方で、メインフレームは再評価の時を迎えている。
「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年5月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10(2025年5月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...