過去10年の間、Apple（アップル）はiPhoneを市場で最も安全なデバイスの1つにするべく努力を重ねてきた。そのソフトウェアを厳重に保護することによって、同社は20億人のiPhoneオーナーを安全に保っている。だが、セキュリティの研究者たちは、それが理由で実際に問題が発生したときに何が起こったかを把握することが難しくなっているという。
同社はかつて、自社のコンピューターにはウイルスは感染しない（Wired記事）と主張していたが、近年同社は、これまでにない方法でセキュリティ研究者やハッカーを受け入れ始めた。
昨年開催されたセキュリティカンファレンス「Black hat USA 2019」で、アップルのセキュリティ責任者であるIvan Krstic（アイバン・キルスティック）氏は、集まったセキュリティ研究者たちに対して、最も信頼できる研究者にデバイス深部へのかつてないアクセス（Forbes記事）を提供する特別なiPhoneを提供すると語った。このiOS Security Research Deviceプログラムの下に提供されるiPhoneを使うことで、アップルが修正できるセキュリティの脆弱性を発見・報告することが容易になる。
アップルは米国時間7月22日から、特別な研究用iPhoneをプログラムの適格性を満たす熟練し精査された研究者に対して貸し出し始める（Appleサイト）。
これらの研究用iPhoneには、SSHアクセスや、ソフトウェアへの最高のアクセス権を持つカスタムコマンドを実行するルートシェル、そしてセキュリティ研究者が自身のコードを実行して深部で何が起きているかを理解しやすくするデバッグツールなど、通常のiPhoneが持つことはない特別なカスタムビルドiOSが搭載されている。
アップルはTechCrunchに対してこのプログラムを「デバイスを送り出してお終いというわけではなく、コラボレーション主体のものにしたい」と述べた。研究デバイスプログラムに参加する研究者やハッカーたちは、より広範なドキュメントや、アップルのエンジニアが質問に答えたりフィードバックを得たりする専用のフォーラムにアクセスすることができる。
こうした研究デバイス自身は特に目新しいものではないが、これまで研究者たちに直接開放されたことはない。一部の研究者は、発見したセキュリティの問題点をテストするために、地下マーケットに赴いて、これらの内部的ないわゆる「dev-fused」（開発用特別仕様）デバイスを探し出し（Vice記事）て手に入れたことが知られている。そうした運に恵まれなかった者は、デバイスの内部にアクセスするためには、まず最初に通常のiPhoneを「脱獄」（ジェイルブレイク）することに頼らなければならなかった。しかし、これらの脱獄は最新のiPhoneではかなり難しくなっているため、ハッカーが自分が見つけた脆弱性が悪用可能なのか、それとも修正されているのかどうかを知ることはより困難になっている。
最高のハッカーたちに、通常のセキュリティ制限の一部を取り除いた、事実上最新で脱獄済みのiPhoneを提供することによってアップルは、信頼できるセキュリティ研究者やハッカーが、これまで見つかっていないソフトウェア深部の脆弱性を見つけやすくしたいと考えている。
しかし、これらの研究用携帯電話はハッカーに対して可能な限りオープンではあるものの、アップルは、個々のデバイスが紛失したり盗まれたりしても、他のiPhoneのセキュリティにはリスクが及ばないと説明している。
この新しいプログラムは、かつて非公開だったバグ報奨金プログラムをやっと1年前に公開した同社にとって、非常に大きな跳躍である。この動きはほかのほとんどのテック企業に比べると、はるかに出遅れ感がある。長い間、有名なハッカーの中には、最初にアップルに警告することなく発見したバグをオンラインで公開（未訳記事）するものがいた。なお、こうしたバグは、企業にパッチをする時間を与えないことから、ハッカーに「ゼロデイ」と呼ばれている。こうした振る舞いは、かつて非常に制限的だったアップルのバグ報奨金条件への不満に起因していた。
現在は、その報奨金プログラムの下で同社はハッカーにバグとセキュリティ問題を非公開で送信してもらって自社のエンジニアに修正させ、iPhoneを他国家からの攻撃や脱獄からさらに強力に保護しようとしている。その見返りに、ハッカーは、脆弱性の深刻度に基いて段階的に増額される報酬を受け取る。
アップルは、研究デバイスプログラムはバグ報奨金プログラムと並行して実施されると説明する。プログラムに参加するハッカーも、アップルにセキュリティバグレポートを提出することが可能で、最大100万ドル（約1億700万円）の報奨金を受け取ることができる。さらに、リリース前のソフトウェアにある最も深刻な脆弱性に対しては、最大50%のボーナスを追加で得られる。
新しいプログラムが示しているのは、アップルが以前よりも慎重さの度合いを下げ、ハッカーコミュニティをより受け入れている姿勢だ。たとえ遅くてもやらないよりはましだ。
関連記事：オンライン広告をもっとプライベートするアップルの提案
画像クレジット: Tobiasjo (opens in a new window)/ Getty Images
［原文へ］
（翻訳：sako）
