アップルは自社アプリがファイアウォールを回避できる「除外リスト」を廃止した

macOS Big Surの最新ベータ版では、Apple独自のアプリがファイアウォールを回避し、ネットワークの使用を隠すという物議を醸していた機能が削除されたと報じられている。

AppleがmacOS Big Sur 11.2ベータ版をリリースしたことで、物議を醸していたネットワーク機能が削除されることが明らかになりました。現在公開されているBig Surでは、ユーザーがファイアウォールですべてのアクセスをブロックしている場合でも、Apple独自のアプリとシステムプロセスのうち56個がインターネットを利用できてしまいます。

論争をさらに複雑にしているのは、これらのアプリがインターネットにアクセスする際、ユーザーやネットワークトラフィックアプリが監視したり報告したりできないという点です。Appleがこれを可能にした理由の一つは、Gatekeeperセキュリティシステムです。

ユーザーがアプリを開くと、macOSは「ホーム」に電話をかけ、そのアプリが開発者がAppleに送信した際に承認されたとおりであるかどうかを確認します。マルウェアが追加されていた場合、Gatekeeperがそれを検出し、アプリの起動を停止するという仕組みです。

しかし、これはmacOS Big Surの初リリース時にユーザーが深刻な問題に遭遇するなど、様々な問題を引き起こしました。Big SurのリリースはAppleのサーバーに問題を引き起こし、アップグレードしていないユーザーでさえGatekeeperが応答しないという問題に遭遇しました。

そのため、macOS Catalinaをまだ使っているユーザーは作業ができず、アプリが起動時にクラッシュするといった問題が発生していました。これはすべて、Macがアプリが正規品であることを確認できなかったことが原因です。

この機能の中心となるのは、Appleが「ContentFilterExclusionList」と呼ぶ機能です。このリストに含まれるアプリはファイアウォールを回避し、監視を回避できます。しかし残念なことに、不正なエージェントがこの機能を利用して、自らのアプリを除外できているようです。

「これらのアイテムを悪用し、検知されないネットワークトラフィックを生成する方法を見つけるのは（当然のことながら）簡単だった」と、セキュリティ専門家のパトリック・ウォードル氏はブログ記事に書いている。

「多くの悪評と、私のような開発者からのAppleへのフィードバックやバグ報告が相次いだ結果、クパチーノの賢明な（セキュリティ意識の高い）判断が勝利したようです」とウォードル氏は続ける。「ContentFilterExclusionListリストは（macOS 11.2 beta 2で）削除されました。」

Macがファイアウォールによってブロックされている場合、Gatekeeperセキュリティがどのように機能するかはまだ明らかではありません。また、ベータ版で機能の有無が、macOSアップデートが一般公開された際に同じ機能が搭載されるという保証はありません。

Appleはこの変更についてコメントしていない。