Apple、セキュリティ研究者向けにバグテスト用の”プチ脱獄済”iPhoneとmacOSバグ報奨金プログラムを提供

Appleのセキュリティ対策への道はますますオープンな方向に向かっているのかもしれません。

Apple、Black Hat USA 2019 セキュリティカンファレンスで2つの新しいバグ発見奨励プログラムを発表か

米国ラスベガスで行われている今年22回目Black Hatセキュリティカンファレンス（8月3〜6日はテクニカルトレーニング、明日7日〜8日はメインカンファレンスという日程になっています（表記は現地時間））で、Appleは2つの新しいバグ発見奨励プログラムを発表する予定であることをフォーブス（Forbes）が報道しています。

Apple、スター級ハッカーに対して「プチ脱獄済iPhone」を配布

報道によると、そのうちの1つは、Appleの招待者限定のバグバウンティプログラム（バグ発見奨励プログラム）に参加しているスター級のハッカーに対して、特別に「ハッカーフレンドリーなiPhone」が配布される予定とのことです。

この特別な「ハッカーフレンドリーなiPhone」は「プチ脱獄済iPhone」とでも呼べるデバイスで、一般向けの完全にロックダウンされたものよりも遥かに多くのことができる端末だということです。市販のiPhoneではできないAppleのオペレーティングシステムの一部の機能にアクセスできるようになっていて、特にプロセッサを停止したり、メモリの脆弱性を精査することができるようになるなど、いわゆる攻撃に使われやすい脆弱性を調査しやすくなっています。これによって、iOSへの攻撃を試みた際に、コードレベルで何が起こっているのかを追跡しやすくなります。

ただしこのデバイスは善玉ハッカーにとっても悪玉ハッカーにとっても有益なものになるため、扱いに注意が必要です。そのため、Appleは厳選したセキュリティ研究者、特にこれまで献身的に慈善的にAppleに協力してきたセキュリティ研究者にしかそのデバイスを配布しないということになります。もちろんそこで発見されたバグは、Appleは報奨金によって買い取ります。その報奨金は、Motherboardによって報道されているとおり、セキュアブートファームウェアコンポーネントに関連するエクスプロイトに対する20万ドル（約2千万円）から、それほど重大ではない欠陥に対する25,000ドル（約250万円）まで様々です。ただ、この金額は他社のバグ報奨金プログラムに比べると少なく、「Appleは大金持ちのくせにケチだ」という誹りを受ける原因にもなっています。

ちなみにこの「プチ脱獄済iPhone」は、Apple内部スタッフがテストするために使用される内部開発者用デバイスとは異なります。内部開発者用デバイスは完全に脱獄された状態、つまり何もロックがかかっていない状態でコアカーネルにも全く問題なくアクセスできるもので、「プチ脱獄済iPhone」よりももっとできることが多い（というより制限がない）ものです。そのため、闇市場で高値で取引されています。前出のソース、Motherboardによると開発者用デバイスは数千ドル（数十万）〜数万ドル（数百万円）で闇市場に出回っているということですが、これらのデバイスは当然Appleから公式に出されたものではなく、盗まれたものです。もし手に入れた場合は、Appleからの訴追を免れることができず、人生がめちゃくちゃになる可能性もあります。とはいえ、実は闇市場とはいえ結構簡単に見つけることができます。例えば、脱獄済デバイスや開発者用デバイスを公然と販売している中国人と思われるTwitterアカウントもあります。今回の「プチ脱獄済iPhone」の配布は、これらの闇市場での開発者用デバイスの流通を抑えるためではないかと思われます。

Apple、macOS用バグ発見奨励プログラムを提供開始か

もう1つのAppleの新しいセキュリティバグ報奨金プログラムは、macOSに対するものです。これまでAppleはiOSにはセキュリティバグ報奨金プログラムを提供してきましたが、macOSには提供してきませんでした。研究者たちはAppleにmacOSのバグ報奨金の作成を何年も求めてきましたが、同社は正式なプログラムをフォローすることにこれまでほとんど関心を示してこなかったのです。

この問題に対するAppleの姿勢は、2月にドイツの10代のハッカー、ライナス・ヘンゼ（Linus Henze）君がmacOSキーチェーンの重大な脆弱性（エクスプロイト）を発見した時に、抗議で詳細をAppleに引き渡すことを拒否したことで明らかになりました。ヘンゼ君は、macOSキーチェーンに保存されているパスワードを、「KeySteal」と呼ばれるアプリで読み出せるようにしていました。KeyStealの詳細は以下の動画で見ることができます。

ヘンゼ君はこの脆弱性はあまりにも重要であり、自分個人では秘密を守れないと述べています。

I’ve decided to submit my keychain exploit to @Apple, even though they did not react, as it is very critical and because the security of macOS users is important to me. I’ve sent them the full details including a patch. For free of course.

— Linus Henze @ Blackhat (@LinusHenze) February 28, 2019

結局、ヘンゼ君はAppleに無償でその脆弱性を引き渡す代わりに、macOSバグ報奨金プログラムがないことに関する説明を求めていました。しかしAppleからは明確な回答はありませんでした。

しかし、今回ようやくBlach Hatセキュリティカンファレンスで、AppleはmacOSバグ発見報奨金プログラムの提供について発表するものとみられています。ただ、その詳細については今のところ明らかではありません。今後、このプログラムが提供されることで、Macのセキュリティがより堅固なものになることを祈っています。

個人的には、上記のAppleが配布する予定のハッカーフレンドリーでプチ脱獄済iPhoneを手に入れてみたい気もしますが、恐らくAppleは誰に配布したという記録を厳密につけていて、他人が使用したり不正があったりするとすぐに使えなくしたり、GPSなどの情報を手がかりに徹底的に追跡し責任追及をする可能性がありますね。またその本来手に入れたセキュリティ研究者に迷惑がかかるようなことがありそうなので、あまり余計なことはしない方がいいかもしれません。笑

記事は以上です。

（記事情報元：Forbes、Motherboard、Apple Insider）