Apple анонсирует первую программу поощрения за поиск уязвимостей безопасности на Black Hat 2016 с выплатами до 200 тыс. долларов

Seth Weintraub | Четверг, 4 августа, 2016, 03:38.

Avatar for Seth Weintraub
 | 4 августа 2016 г. — 18:07 PT

Apple нечасто посещает конференцию хакеров Black Hat, но в этом году Cupertino думает иначе™ о безопасности. Глава службы безопасности Apple, Иван Крстич, сегодня заявил, что компания будет выплачивать огромные (до 200 тыс. долларов) вознаграждения за найденные ошибки приглашенным исследователям, которые найдут и сообщат об уязвимостях в определенном программном обеспечении Apple.

Краткий обзор максимальных выплат:

  • Защищенная прошивка загрузки: 200 000 долларов
  • Извлечение конфиденциальных материалов, защищенных процессором Secure Enclave: 100 000 долларов
  • Выполнение произвольного кода с привилегиями ядра: 50 000 долларов
  • Несанкционированный доступ к данным учетной записи iCloud на серверах Apple: 50 000 долларов
  • Доступ из изолированного процесса к пользовательским данным вне этой изоляции: 25 000 долларов

Ранее в этом году ФБР заплатило менее 1 млн долларов за инструмент для разблокировки iPhone террориста из Сан-Бернардино. Возможно, Apple пытается устранить эти выгодные лазейки в своем флагманском программном обеспечении.

Согласно этому отчету, инструмент, которым воспользовалось ФБР, мог использоваться на любом iPhone с iOS 9 и, возможно, все еще находится в обращении, хотя, по слухам, Apple запросила эту уязвимость у ФБР.

Джейлбрейкеры также использовали уязвимости Apple для получения доступа к iPhone. Сегодня Apple выпустила обновление — программное обеспечение iOS 9.3.4, специально разработанное для блокировки доступа последней версии Pangu jailbreak.

Выступление Apple сегодня на Black Hat называлось «ЗА КУЛИСАМИ БЕЗОПАСНОСТИ IOS» и было представлено Иваном Крстичем.

Имея более миллиарда активных устройств и глубоко эшелонированные меры безопасности, охватывающие каждый уровень от кремния до программного обеспечения, Apple работает над продвижением передовых технологий в области мобильной безопасности с каждым выпуском iOS. Мы подробно рассмотрим три механизма безопасности iOS, впервые публично обсудив один из них, новый для iOS 10.

HomeKit, Auto Unlock и iCloud Keychain — это три технологии Apple, которые обрабатывают исключительно конфиденциальные пользовательские данные, контролируя устройства (включая замки) в доме пользователя, возможность разблокировать Mac пользователя с Apple Watch и, соответственно, пароли и данные кредитных карт пользователя. Мы обсудим криптографический дизайн и реализацию нашей новой защищенной синхронизирующей среды, которая перемещает конфиденциальные данные между устройствами, не раскрывая их Apple, при этом предоставляя пользователю возможность восстановить данные в случае потери устройства.

Data Protection — это криптографическая система, защищающая пользовательские данные на всех устройствах iOS. Мы обсудим процессор Secure Enclave, присутствующий в устройствах iPhone 5S и более поздних версиях, и объясним, как он позволил использовать новый подход к извлечению ключей Data Protection и ограничению скорости перебора в небольшой TCB, не предоставляя промежуточные или производные ключи обычному процессору приложений.

Традиционные уязвимости, основанные на браузере, становится все труднее использовать из-за все более изощренных методов смягчения последствий. Мы обсудим уникальный механизм укрепления JIT в iOS 10, который делает JIT Safari в iOS более сложной целью.

Однако у новой программы Apple есть некоторые оговорки. Подробнее о новой программе ниже (по данным CNET):

Возможно, если бы Apple платила вознаграждения за крупные уязвимости, она могла бы избежать такого сценария, сказал Рич Могулл, генеральный директор компании по исследованию кибербезопасности Securosis. Но когда речь идет о действительно ценных инструментах для взлома продуктов компании, сказал он, «Apple не сможет переплатить правительству или какой-нибудь русской мафии, которая может заплатить 1 миллион долларов».

Эта программа будет стимулировать исследователей доводить свои находки до конца, сказал Могулл. Вместо того чтобы находить ошибку и двигаться дальше, эксперты будут иметь вескую причину доказать, что ошибка действительно может открыть дверь хакерам. Это доказательство требуется до того, как Apple заплатит.

Apple заявила, что программа поощрения за поиск ошибок призвана признать, насколько сложно найти слабое место в ее системах. Поскольку компания ужесточила безопасность своих продуктов с помощью шифрования, которое шифрует пользовательские данные, и продолжает в целом строго контролировать свое программное обеспечение, задача по взлому этой безопасности становится все более сложной.

Выплаты будут зависеть от того, где найдена уязвимость, и программа изначально не будет открыта для любого хакера, заявила Apple. Когда она запустится в сентябре, программа будет включать несколько десятков исследователей безопасности, с которыми производитель iPhone ранее работал. Но если исследователь из этой группы найдет дорогостоящую уязвимость, Apple заявила, что рассмотрит возможность выплаты и ему.

«Это не meant to be any kind of exclusive club», — сказал Крстич.