2020 年 12 月 10日 Josh Stuifbergen 著

Apple のハードウェアやソフトウェア製品は、その設計も宣伝の方法も非常に洗練されていますが、最新の macOS 「Big Sur」のリリースは、決して洗練されているとは言い難いものでした。これは、Apple が証明書の認証と失効の追跡に、オンライン証明書ステータスプロトコル（OCSP）の使用を決定したことが一因です。問題は OCSP の使用だけに起因するのではなく、「ocsp.apple.com」サーバへ送られる大量の OCSP レスポンダコールに対して、クエリの間隔が短すぎたことが原因です。OS のロールアウトがつまづいたことの「核心」は、アプリケーションの証明書検証プロセスで、プライベートデータの多くが漏えいしていることがわかったことです。

Jeff Johnson 氏らは、サードパーティ製アプリケーションの証明書失効の検証に OCSP クエリが利用されていたことを明らかにしました。このプロセスでは、インターネットプロトコル(IP)アドレス、日付、都市、インターネットサービスプロバイダ(ISP)、アプリケーションハッシュなどの、暗号化されていないデータがアプリケーションを開くたびに Apple に送信されていました。これは、アプリケーションの使用状況など、人によっては個人情報とも捉えられる情報が ISP や他の場所に漏洩していることを意味します。アプリケーションのハッシュをチェックしてその整合性を担保するプロセスは、標準的でありセキュリティのベストプラクティスと考えられていますが、標準的ではないのは、Big Sur がインストールされた macOS デバイスとサーバ間でハッシュの整合性をチェックする際、このデータが転送される方法です。OCSP クエリを暗号化するのは負荷の大きいプロセスと思われるかもしれませんが、暗号化しない場合、アプリケーションの使用状況に関するプライバシーのレベルは悲惨となります。

Catalina から Big Sur への移行にあたっては、セキュリティフレームワークも大幅に見直しされました。Apple は Network Kernel Extension から、新しい Network Extension API の使用へと移行しました。LittleSnitch 社などのセキュリティ関連企業は、この Apple の新しい API が、多くの Apple サービスをホワイトリスト化しただけでなく（特定の中心的なサービスでは一般的です）、このトラフィックを隠していることにも気づいていました。これは、「マップ」のような Apple のサービスが、API の裏で Apple にデータを転送しているということを意味します。ファイアウォールに期待される最も基本的な機能は、送信されるデータを制御できるかどうかに関わらず、デバイスで送受信されるすべてのトラフィックを把握する、ということです。つまり、新しい API では、ハッカーが Apple のサービスを経由して、サードパーティ製のファイアウォールによる検出を回避可能な方法を発見するかもしれない、というセキュリティの問題が発生する恐れがあります。

これらのセキュリティ上の懸念は、Big Sur のロールアウトでのつまづきによってより浮き彫りになりました。Apple はすでに改善が必要な点を認めています。これによりテック業界では、顧客が企業に期待すべきプライバシーと透明性についての議論が起きています。