Mac OS開発者に訊くアップルのセキュリティ問題

　Apple Computerはセキュリティに関する口の堅さでは定評がある。しかし最近では、同社の伝統である沈黙が破られるつつある。

　Apple（本社：カリフォルニア州クパチーノ）は米国時間3月13日、過去2週間で2度目となるMac OS Xのセキュリティアップデートをリリースした。Appleは通常、同社のウェブサイトに簡潔なセキュリティ勧告を掲載するだけで、ユーザは使用しているコンピュータがアップデートをチェックした時点でその存在を知ることになる。なお、コンピュータによるアップデートのチェックは、Mac OS Xのデフォルトインストールでは毎週自動的に行われるようになっている。

　しかし今回はMac OSの主要アーキテクトの1人であるBud Tribble氏がCNET News.comのインタビューに応じ、Mac OSのセキュリティと同社のセキュリティアップデートに関するプロセスについて語った。

　Appleのソフトウェアテクノロジー担当バイスプレジデントであるTribble氏は、同社の創業期に初代ソフトウェアチームのマネージャとして入社し、Mac OSの設計に関わった。同氏は、Appleの現CEOであるSteve Jobs氏が創業したNeXT Computerを含む、さまざまなベンチャー企業で働いた後、2002年にAppleに復帰した。

　Appleファンは長い間、Mac OS Xの安全性を指摘するのが大好きだった。Mac OS Xを使っていれば、ハッカーの標的になることはほとんどないというのだ。しかし、2つのワームが発見され、深刻な脆弱性が公開されたことから、このところMac OS Xの安全性には厳しい目が向けられるようになった。またAppleが3月1日にリリースしたパッチについては、その有効性をセキュリティ専門家らが疑問視するという出来事もあった。

　こうした最近の出来事を受け、一部からはMac OSの安全神話がついに終焉を迎えたとの声が上がり始めている。だが、Appleがそんなふうには考えていないことは間違いない。Tribble氏は、Appleの出すセキュリティアップデートの大半が予防的なものであると指摘している。Appleはセキュリティに関してより開かれた場で話し始めたかもしれないが、だからといって自社のやり方を見直しているわけではなく、たとえばMicrosoftやOracle、Adobe Systemsなどのように、セキュリティパッチの定例リリースを実施あるいは計画しているわけでもない。

　Tribble氏は先ごろ、CNET News.comとのインタビューに応じ、Appleと同社のセキュリティに対するアプローチについて語った。

--Appleでは、何らかのスケジュールに基づいてセキュリティアップデートを公開しているのですか。それとも完成時点でリリースするだけなのですか。

　われわれは、必要に応じてセキュリティアップデートをリリースしています。たとえば毎月この日にリリースを行うといった特定のアップデートはありません。実際のところ、われわれは、発見した問題に対してタイムリーな対処を確実に行うという思いに動かされています。セキュリティアップデートの定例リリースを望んでいるITマネージャがいるということも認識していますが、大半のユーザーにとってはセキュリティアップデートがタイムリーにリリースされるほうが理にかなっていると考えています。

--Appleでは、対処した脆弱性の分類を行っていません。どの問題が最も深刻であると発表することは実際には可能ですか。

　われわれは、そういったことはしていません。たとえば、これら2つ（の脆弱性）は「深刻」であり、その他は深刻ではない、というようなことを言ったりはしません。なぜ言わないかといえば、それはわれわれがセキュリティアップデートでリリースしたパッチは、すべてインストールすべきものだからです。われわれはパッチを適用してもらうために出しているのです。

　たとえば、われわれが脆弱性を細分化してその一部を深刻であると判定したとします。すると、われわれが実はすべてをインストールしてもらいたいと考えているのに、ユーザ−は結局、深刻な脆弱性に対処するパッチしかインストールしないという、われわれが避けたいと考えている事態が発生してしまいます。

--Appleの勧告に含まれる情報量はMicrosoftのセキュリティ勧告ほど多くありません。これは意図的なものでしょうか

　われわれの情報量のほうが少ないとは思えません。われわれはパッチについて説明し、どのコンポーネントが対象になっているかを明らかにしています。われわれはCVE（Common Vulnerabilities and Exposures）識別番号を採用しており、問題を報告してくれた人々に感謝の意を表しています。私は、実際の内容はほとんど同じだと思っています。