EU域内でリリースされるiPhone向けの新しいOSでは、アップル以外の事業者が提供するアプリストアやアプリ内決済サービス、ウェブブラウザエンジンなどが解禁となる（写真：Bloomberg）

「これらのセーフガード措置を実施してもなお、多くのリスクが残ります」――。

3月初旬、EU域内でiPhone向けの新しいOS、iOS 17.4のリリースが予定されている。

iOS17.4以降は、欧州委員会が施行したデジタル市場法（DMA）に対応するための大幅な仕様変更、追加機能が盛り込まれる。DMAの規定に沿って、EU域内ではiPhone向けのアプリストア、Webブラウザエンジン、決済サービスなどが自由化され、ユーザーは自由に選択できるようになる。

安全性やプライバシーを守るための機能の進化は、悪意あるアプリケーションやサービス開発との競争の歴史でもある。その観点で言うならば、ヨーロッパ版iPhoneは“退化”することになる。

アップル自身が自社サイトで冒頭の通り警告するように、これまでは存在しなかったiPhone向けのウイルス、マルウェアが生まれるリスクをはらむからだ。

近い将来日本でも同じ対応が？

EU版iOS 17.4以降のアップデート内容は極めて広範囲にわたり、App Store以外のアプリマーケットやアプリ内決済サービス、WebKit（アップル開発のブラウザエンジン）以外を用いたウェブブラウザ、Apple Pay以外のNFC決済サービスなどが解禁となる。

今回はEU域内にとどまるアップデートだが、日本のユーザーにとっても他人事ではない。

政府のデジタル市場競争本部が作成した「モバイル・エコシステムに関する競争評価」の最終報告に記載されている、スマートフォン向けOSの規制内容と近いものだからだ。つまり、DMA対応のiPhoneは“近い将来の日本におけるiPhone”となる可能性が高い。

DMA対応が施された新しいiPhoneを歓迎する開発者やアプリ開発会社も少なくはない。ある一面を取り出せば利点もある。

例えばWebKit以外のブラウザエンジンが利用可能になるため、アップルが力を入れていないジャンルのウェブ技術への対応が進む可能性がある。これまでは、たとえグーグルのChromeなどを利用する場合でも、そのエンジンはアップル製のWebKitでなければならなかった。

現在のWebKitは、WebXRという拡張現実のウェブ標準に追いついておらず、機能的に低く安定性にも乏しい。代替ブラウザエンジンが利用できれば、こうしたジャンルのウェブ標準に対応する手段が拓ける。

AppStore以外のアプリストアが開放され、決済手段も選べるようになることは、前進ととらえられなくもない。

アップルが他の決済手段の導入を禁止し、開発者に対してアプリ内課金から最大30％の手数料を徴収していることなどに反発する声があることは、人気ゲーム「Fortnite」の開発元であるエピックゲームズとアップルの訴訟などのニュースからご存じの方も多いはずだ。

ジョブズも苦慮していた“ジレンマ”

しかし、一連の規制緩和が本当に前進あるいは進化した結果なのかというと、大きな疑問符がつくと筆者は考えている。なぜなら、それらはパーソナルコンピュータの歴史上、もっとも困難な挑戦を成功に導いてきた“秘伝のタレ”の一部だからだ。

iPhone、iPadは、それぞれスマートフォン、タブレット端末というジャンルの製品だが、その本質はパーソナルコンピュータであり、WindowsやMacと本質的な違いはない。その歴史を遡ると、黎明期から、悪意あるソフトウェア（ウイルス、マルウェア）の脅威と隣り合わせだった。

生前、スティーブ・ジョブズは「開発者に先進的でオープンなプラットフォームを提供すると同時に、iPhoneユーザーをウイルスやマルウェア、プライバシー侵害などから守ることは簡単な仕事ではない」と話していたというが、多くのコンピュータエンジニアは彼の意見に同意するはずだ。

先進的な機能や高い性能を開発者が使いこなせば、それまで実現できなかったアプリケーションを生み出せる。一方で、同時にそれは“より高度な悪意あるソフトウェア”を生み出すための道具にもなりうる。

開発者にとっての自由度の高さとセキュリティの両立は大きなテーマで、iPhone（iOS）の場合、App Storeを組み込んでサードパーティ製アプリを動かせるようになった時点では、小さな“箱庭”でアプリを動かせるだけだった。

スマートフォンは、携帯電話網を使って通信できる多様なセンサーを内蔵するコンピュータだ。その機能を単に開放するだけでは"悪意あるソフトウェア”に新たな自由を提供するだけになってしまうため、用心深く機能の開放を進めてきたのだ。

現在、iPhoneの“箱庭”はより大きく、自由度の高いものになっているが、それはアップルが悪意あるソフトウェアやプライバシー侵害などへの対策を施すとともに、各種機能を開発、搭載してきたからにほかならない。

その結果として今日に至るまで、ウイルス、マルウェアはiPhone上で確認されておらず、ユーザーはアンチウイルスソフトなどをインストールせずに使いこなすことが可能になっている。

新たなiOSで導入する公証制度とは？

iPhoneの悪意あるソフトウェアへの対策は、実はシステム的な側面だけで完結するものではない。安全性を重視したシステム設計としたうえで、App Storeで配布するすべてのアプリを人間が審査している。


DMAに対応したiOSについてアップルは、「多くのリスクが残る」と警告している（画像：アップルの公式HPより）

しかしApp Store以外のアプリストア（代替アプリストア）のダウンロードが解禁されると、そこでの審査は代替アプリストアの運営者自身が行わねばならない。

詐欺アプリ、海賊版、プライバシー侵害、コンテンツガイドラインなどの審査は、ストアごとに異なるものになるが、当然ながらストア運営者はiOS自体の開発を行なっているわけではない。

そこでアップルはEU版iOS 17.4以降では、「公証制度」を導入する。こればノータライゼーションと呼ばれるプロセスで、アプリの機能や内容についての審査は行わないが、基本的なセキュリティ、プライバシーガイドラインへの準拠を確認し、ウイルス・マルウェアのスキャンを行ったうえで、iOSへのインストールを可能にする“カギ”をアップルが発行する。

ユーザー目線に配慮した工夫もいくつかある。アプリの出自やどのような機能を使っているのかなどの詳細について、App Storeとは異なるストアでも共通の表示となるよう「シート（情報の一覧）」を用意し、ユーザーがそのアプリをインストールすべきかどうかの判断を下しやすくしたという。

アプリストアからインストールするアプリがアクセスできるデータ・センサーについて、ユーザーがストアごとに許可・不許可の設定も行えるようにしている。

これらは最低限の品質を確保し、ユーザー自身によるアプリの安全性判断を助けるものではあるが、これまで悪意あるソフトウェアをシャットダウンしてきたApp Storeと同じ品質を保証するものではない。

もちろん、代替アプリストアがAppStoreと同等の品質管理を行えれば、必ずしも“穴（セキュリティホール）”とはならない。また、ストア選びはユーザー自身の選択でもある。

しかし自由にはリスクが伴う。これを前進と呼ぶ人もいるだろうが、安全性の面では後退であり、パソコン世代への回帰だ。

増大するユーザー側の責任

代替ブラウザエンジンの許可に関しても、そこで得られる自由にはリスク増加の危険を伴う。その責任はユーザー自身が負うものだ。

前述したWebXRへの対応について、アップルがiPhone向けに提供するAR Kitという機能を使わせるがために、WebKitのWebXR対応がおざなりになっているのではないか、それこそが市場独占の弊害である、という言説は当然あるだろう。

一方でブラウザエンジンには、JITコンパイラ（ウェブアプリを効率的に動作させる仕組み）、ウェブサンドボックス（ウェブアプリが他アプリに干渉できないよう隔離する技術）、パスキー（認証技術）が含まれている。これらはセキュリティ上、重要な役割を担い、セキュリティホールとなりやすい要素も含んでいる。

つまり代替ブラウザエンジンを選択する場合、ウェブを通じての攻撃への対処は、アップルの手を離れることになる。

iOS 17.4以降の変更点は多岐にわたるため、とても本記事だけで網羅はできないが、可能な限りの安全対策は施されているものの、セキュリティとプライバシーに関する品質をどこまで維持できるかは、代替アプリストアやブラウザエンジンの提供者、それにユーザー自身の選択にかかっているのだ。

では、日本でも規制対象となる可能性が高い、代替決済手段の提供についてはどうだろうか。

EU版iPhone向けのアプリ開発者は、従来通りのアプリ配信と決済に加えて、App Storeでアプリを流通させつつ、アプリ内課金に代替決済プロバイダーを利用する方法と、代替アプリストアを利用する方法の3つからアプリの流通経路を選べるようになる。

これに伴い、これまでシンプルだったApp Storeの手数料は、基本手数料、Core Technology Fee（CTF）、決済手数料の3つに分けて計上される。

App Storeの手数料が30%だと広く知られているが、これは基本料であり、売り上げの小さな開発者や登録初年度の開発者は15%の割引手数料が適用される。ヨーロッパ市場における直近の実績では、30%の手数料を支払っているアプリは全体の3％だ（アプリ数の比率であり、決済金額ベースではない点に注意）。

EU版App Storeでは、この基本手数料が17%と10%に引き下げられ、App Store以外のアプリストアを利用する場合は徴収されないこととなる。

分離された決済手数料は3％。この数字も決済サービスとして十分にリーズナブルと言えるだろう。こちらも代替決済手段を用いる場合、アップルが徴収することはない。

CTFを支払う開発者は全体の1％

つまり、代替アプリストアと代替決済サービスを利用する場合に、アップルが徴収するのはCTFだけということになる。

CTFは、従来一括だった手数料からシステムの利用料を分離したものだ。ただしCTFの支払いが必要になる開発者は、全体のわずか1%にすぎない。99%のアプリ開発者にとっての手数料は、以前の料金体系と同等、あるいは安くなる。CTFは、1つのアプリを大量に配布する、ごく一部の大手開発者のみが支払う仕組みだからだ。

100万以上のダウンロードがあるアプリは、100万を超えたダウンロード数に対して年に1度、0.5ユーロの手数料がかかる。なお、その年次を通して何度バージョンアップを行っても、ユーザーが再ダウンロードを繰り返しても追加料金は発生しない。1ユーザーが異なるデバイスで複数のダウンロードを行っても同じだ。

筆者はかねて、アプリストアの自由化は技術的な後退だと指摘してきたが、決済手段に関しては自由に選べたほうがいいという立場だった。その背景には、手数料に潜むコストの内訳が不明だったということもある。

しかし決済手数料3%という数字を考えると、他の決済手段に置き換えたとしても、これよりも安価になることはないはずだ。

これはCTFに関しても言える。アプリを大量配布している少数のデベロッパーに対し、そのシステムを維持、メンテナンスするためのコスト負担を求めているだけと考えるならば妥当性はある。

したがって焦点は、17%あるいは10%の基本手数料が妥当なのかに絞られる。この設定割合は代替アプリストアと異なることが予想されるが、 はたして代替ストアの手数料とサービスの品質を比較したときに、妥当性があるかどうかという議論になるだろう。

裁判で争いとなっているエピックゲームズのFortniteなら、ユーザーは喜んで代替アプリストアと代替決済サービスを選ぶかもしれない。彼らの規模ならば、自社専用のアプリストアを開発してもお釣りが来るだろう。

変更による受益者は極めて少ない

しかしスマートフォン市場はゲーム業界だけのものではない。

DMAに対応したiOS 17.4以降の仕様を精査した率直な感想は、“こんなことのために、マルウェアから逃れることができていたパーソナルコンピュータを危険に晒すのか？”というものだ。

DMA対応版のiOSと、それを取り巻く数字が示していることは、この変更における受益者が極めて少ない一方、リスクにさらされるユーザーは極めて多いということである。

いったい誰のために、アプリストア、ブラウザエンジン、決済手段を自由化するのか。日本政府には、EU向けのiPhoneで何が起きるかを注視したうえで、的確な判断が求められる。

（本田 雅一 ： ITジャーナリスト）