アップルに相次ぐOSのバグは、その信頼と品質に「黄信号」を灯す──専門家たちが指摘する「根深い問題」
どんなソフトウェアにも欠陥はある。いくら入念にチェックしていても完全にはなくならない。だから問題は、完璧なコードを作成することではなく、間違いを見つけたときにどう対応するかだ。
アップルはセキュリティに関して確固たる評判を得てきたものの、「macOS 」と「iOS」で相次いで発見された重大な脆弱性により、アップルのセーフティーネットはほころび始めている。一部のセキュリティ研究者や開発者は、この問題はアップル全体にかかわることかもしれないと疑問を抱き始めた。
この1年で相次いだ重要な修正アップデート
2017年9月25日（米国時間）にアップルが発表した「macOS High Sierra」のリリースを例に挙げよう。アップルは、10日以内に2つの重大なバグを修正しなければならなくなった。まず1つが、第三者のアプリを使用するとキーチェーンから認証情報を盗み出せるという問題。そして2つ目は、暗号化されたApple File System（APFS）ヴォリュームのパスワードのヒントが、パスワードをプレーンテキストで表示するという不具合だ。
その後11月末には、「root」と入力するだけで、Macで稼働しているHigh Sierraに誰でもルートアクセスできることを、セキュリティ研究者たちが公表した。このバグはあまりにも目立つものだったため、アップルは1日もたたないうちに修正プログラムを発表した。これほどの大企業にしては驚異的な速さだった。
最初の「root」バグ事件後に、アップルは『WIRED』US版に次のような声明を出した（アップルがこうした“告白”をすることは珍しい）。
「セキュリティはすべてのアップル製品にとって最優先事項ですが、残念なことにこのmacOSのリリースではミスをしてしまいました。わたしたちは今回のミスを非常に遺憾に思っており、すべてのMacユーザーに対してこのような脆弱性のあるソフトウェアをリリースしてしまったことと、心配させてしまったことの両方をお詫びいたします。今後は開発プロセスを厳しく検査し、再発防止に努めます」
だが、この修正プログラム自体に重大なバグがあった［日本語版記事］。テスト時間をほとんど取れなかったことを考えれば驚くには当たらない。
この問題はmacOSだけでなく、アップルのプラットフォーム全体で次々と起きるソフトウェアの一連のトラブルのリストに名を連ねることになった。17年全体を通して、アップルは問題のあるバグを数多く修正しているのだ。
iOS 10では数十個のバグを修正。5月には、アップルのすべてのOSとサーヴィスに影響を与える衝撃的なアップデートで、66個の固有の脆弱性を修正した。これらの脆弱性のいくつかは遠隔でも実行可能であり、ハッカーはデヴァイスに物理的にアクセスしなくても脆弱性を悪用できる状態だった。
9月にiOS 11がリリースされるとすぐ、iPhoneがアルファベットの「i」を「A」に自動変換するようになった。これはセキュリティ問題ではないものの、アップルの多くの顧客たちがはっきりと目で確認でき、しかもイライラするバグだった。
さらに12月の第2週、Homekitのリモート脆弱性に対するiOS 11の修正プログラムをリリースした。この脆弱性を悪用するのは簡単ではないが、意欲的なハッカーならドアロックなどの重要なスマートホーム機器に不正アクセスできるものだった。
拡大するプラットフォームとスケジュールが負担に？
アップルが提供するセキュリティは、ほとんどの評価基準においてその競争相手よりも優れている。だがセキュリティ研究者たちは、今回のような脆弱性の増加は根深い問題を示唆している可能性があると述べる。
アップル製品に重点を置くDuo Securityで調査開発エンジニアを務めるピピン・ブルイエンヌは、「わたしとしてはアップルの願望、つまり広報活動や製品管理、マーケティングがしやすいよう、自社のプラットフォームであるiOS、macOS、watchOS、tvOSのすべてを同じ年間リリースサイクルに乗せたいという願望が負担となり始めたのではないかと思います」と述べている。「アップルの全製品を対象とした全体的なプラットフォームセキュリティ構想は文句なしに業界一だとは思いますが、ペースの問題が、ソフトウェア開発プロセスにおける品質保証の部分に犠牲を強いているように見えます」
複数の研究者が品質保証検査プロセスの問題を指摘し、徹底的に評価するための人的資源か、明確な指示のいずれかが不足していたのではないかと推測した。アップル自身は、問題があったのは「開発プロセスの検査」だと述べている。
審査と検査の問題を示唆しているようだが、同時に研究者たちが指摘しているほかの懸念事項を示しているようにもとれる。それは、12カ月ごとに刷新したソフトウェアをリリースするという、アップルにとってのプレッシャーだ。
Malwarebytes Labsの脅威追跡・分析部門でMacとモバイルの責任者を務めるトーマス・リードは次のように語る。「アップルにはこれまでも問題はありましたが、そのことで責められるわけではありません。バグの問題には遅かれ早かれ誰もが遭遇することになるからです。しかし、11月などが異常だったのはバグの数です。明らかにそこには何かがあります。現時点では偶然では説明できません。これほど多くのバグがHigh SierraとiOS 11に見つかっているからには、アップルは何らかの理由でこれらのリリースを急いでいて、公開の準備が十分にできていない時期尚早の段階で発表したのではないかと疑わざるを得ません」
「安定」を誇ったOSも今は昔
昔からMacを利用してきた専門家のなかには、09年に発売されたアップルの「OS X 10.6 Snow Leopard」のようなリリースを懐かしむ人もいる。07年に鳴り物入りで発表された機能満載のLeopard（10.5）を、じっくりと成熟させたヴァージョンだ。
「Snow Leopardは、非常に良好で安定したリリースでした。本当に長い時間をかけてバグが修正されたからです」とリードは述べる。「現時点でもアップルは同じことをすべきです。最近ではどのリリースも、かなりの重点を新機能に置いていますが、次のリリースでは新機能のペースを少し落としてバグ修正に集中する必要があると思います」
非常に目立つ脆弱性は、アップルの全体的なセキュリティに「雪だるま式」の影響を及ぼす可能性もある。iPhoneとMacの所有者は一般的に、すぐにアップデートをインストールし、Androidデヴァイスは後れをとる場合が多い。それはアップル製品がこれまで比較的安全だったからである。だが、あまりに頻繁に多くのバグが見つかると、ユーザーはすぐにアップデートを適用することに慎重になり、問題が解消された新しいソフトウェアが市場に出るまでそのままにするほうを選ぶ可能性がある。
昔からのiOS開発者であるマリン・トドロフは、「わたしは少し前に、アップルの最新ソフトウェアを使うのをやめました。常に2つ前の、正常に動作するヴァージョンを使用しています」と述べる。「アップル本社でも、こうした危機的状況を知らせる警報が鳴っているとよいのですが。アップルはユーザーエクスペリエンスとソフトウェア品質を失いつつあるように見えます」
優先すべきは新機能よりも「システムの安定性」
アップルに重点を置く研究者やシステム管理者は、現在の状況について困惑している。だが、同社のセキュリティに対する姿勢とパイプラインは、ほとんどの大手IT企業よりも強固だ。また、アップルの問題が最近注目されている原因の一端は、研究者たちがバグをアップルに内密に報告して修正を待つのではなく、すぐに公表するところにある。
「root」バグを見つけた研究者は複数いた。だが、そのひとりであるトルコのソフトウェア開発者レミ・オーハン・エルギンは、このバグをツイートでアップルに通知した。
iOS研究者であり、Sudo Security Groupの代表者であるウィル・ストラファックは次のように述べる。「懸念される問題は通常、セキュリティ・アップデートで対応されたあとに通知されますが、いまでは修正プログラムが出る前に一般ユーザーが公表するので、ちょっとしたパニックになります。決してバグが増えているわけではないのですが、人々は対応済みの問題と新しい問題を区別したりしません。それに、いわば『積み重ねの効果』も若干あります。しばらくはrootバグのことを皆が覚えていて、そのあとに見つかる新しい問題と関連づけるのです」
ユーザーは、そのバグがメインストリームの関心を集めているという理由のほうが大きい場合でも、アップデートを躊躇し、結果としてアップルの全体的なセキュリティアプローチが損なわれることになる。Malwarebytesのリードは、「アップデートの採用がやや遅れたMac管理者は幸運だったということになりましたが、これが間違ったメッセージになっています。セキュリティにとってアップデートは不可欠だからです」と述べる。「わたしは、こうした問題に迅速に対応したアップルを評価しています。ですが、中心的な重点を置くべきなのはこうしたバグへの対応ではなく、システム自体の全体的な安定性であると思います。苛立たしい状況です」
アップルの次のサイクルのリリースに、それほど多くの基本的なミスが含まれていなければ、High SierraとiOS 11の問題は、理解できるささいなこととして収束するだろう。だがいまのところは、この問題はひとつのパターンのように見える。RELATED
アップルのmacOS、修正した重大な脆弱性が「復活」するバグが見つかる
