Appleはセキュリティ管理を誤り、品質保証と細部への配慮は完全に崩壊した。High Sierraのルートアカウントを 73日間も保護していなかったという史上最悪のセキュリティミスに続き、Appleは史上2番目にひどいセキュリティミスを犯した。具体的には、AirPortルーターはKRACK Wi-Fiエクスプロイトの影響を受けていないという、広く信じられていた誤解をAppleは正さなかったのだ。これを怠慢による嘘と呼ぶ人もいるかもしれない。そして、そう、 修正に57日もかかったのだ。
史上最悪のセキュリティの失敗：TLDR ルートパスワードなし
Appleは2017年9月25日、商用コンピューティング史上最悪のセキュリティ失策としか言いようのないmacOS High Sierraをリリースしました。ユーザーには知られていませんでしたが、このOSには、スーパーユーザーのルートアクセスにパスワードが不要という機能が含まれていました。これは、玄関のドアを開けっ放しにして「お願い、お願い、私を盗んでください」と書かれた札を掲げているようなものです。
それだけではまだ不十分だったかのように、「スティーンキンのルートパスワードなんていらない」というエピソードの後、2017年11月29日にその失態を修正するアップデートがリリースされました。そして2017年12月4日には、 修正を元に戻した10.13.1という別のアップデートが リリースされました。その後、「一体私のマシンの状態は？」と途方に暮れる1週間が続きました。そしてついに、2017年12月6日に10.13.2のアップデートがリリースされ、この混乱は修正されました。
つまり、Appleはルートアカウントが安全でないOSを73日間も出荷していたのです。そして、脆弱性が発表されてから丸1週間もの間、Appleは脆弱性を修正するまでに手探り状態でした。
クパチーノのキーストーン・コップスは、マイクロソフトが全盛期でさえ、セキュリティ面で全くの素人だったことを世界に明らかにしようと決意した。今や揺るぎないAppleの地位を証明するために、Apple KRACK事件を例に挙げよう。
史上最悪のセキュリティミス？AppleのKRACK問題
10月、Wi-FiはKRACKエクスプロイトという、おそらく過去最大のセキュリティ脆弱性を露呈しました。ルーターメーカー数社は初日にパッチを公開し、ほとんどのベンダーはすぐにパッチを提供すると明確に発表しました。
AppleはiMoreに情報を提供し、Apple製ルーターはKRACKエクスプロイトに対して脆弱ではないと報告しました。つまり、Appleのルーターに関する立場は「くだらないパッチは必要ない」というものでした。そして2ヶ月後、Appleは自社のルーターがKRACKに対して脆弱ではないと世界に信じ込ませた後、KRACKエクスプロイトに対するパッチをリリースしました。
ここで少し立ち止まって、いわば沈黙のひとときを。読者の皆さん、喉から汗水たらして嘲笑し、憤慨した、吐き気を催すような、下品な長文を想像してみてください。冗談でしょう！まさか本気でしょう！Appleはなぜ、これほど長い間、ルーターがこれほど深刻な脆弱性に対して無防備だとユーザーに信じ込ませていたのでしょうか？
これがどのようにして起こったかについては、いくつかの可能性が考えられます。
- Apple のルーターは確かに無敵だったが、それでも KRACK の脆弱性に対するパッチをリリースしており、これはあまり意味がない。
- Appleは、自社のクライアントデバイスは脆弱性がない可能性があると考えていたため、自社のルーターが脆弱であることは問題視しませんでした。しかし、パッチ未適用のAppleルーター経由で動作する非Appleクライアントデバイス（Androidデバイス、IoT、PC、Xboxなど）にも影響を与える脆弱性について、ユーザーに通知しなかったことは正当化されません。
- Apple 社は、自社のルーターが KRACK に対して脆弱ではないことを知りながら、この虚偽の表示を放置していた。
- Apple は、自社のルーターが脆弱であることに気づかないほど、非常に無能でした。
上記のどの理論を支持するかに関係なく、Apple がこれを処理した方法はよく分かりません。
Appleは品質保証とセキュリティに真剣に取り組む必要がある
残念なことに、上記はAppleの最近のセキュリティ／バグ問題の一部に過ぎません。これらの過失の多くは、根深い無関心を露呈しています。Appleは品質保証とセキュリティについて、早急に真剣に取り組む必要があります。「品質保証・セキュリティ担当シニアVP」のような役職の創設を検討すべきです。そして、この分野を熟知した人物を任命し、細部への配慮と品質管理に真に必要な注意を払う必要があります。スティーブ・ジョブズのような厳しい目がなくても、これは明らかに切実に必要とされていることです。
現時点でAppleのセキュリティを最も的確に表現するとすれば、「完全な$%*@ショー」でしょう。AirPortのKRACK脆弱性に関しては、良く言ってもコミュニケーション不足による惨事、悪く言えば、全くの無能さと言えるでしょう。
