| 20 декабря 2019 г. — 4:11 PT
Как обещала еще в августе, программа Apple по поиску уязвимостей теперь открыта для всех.
Ранее это была инициатива только по приглашениям, что вызывало критику, поскольку побуждало не приглашенных продавать информацию об уязвимостях компаниям и правительствам, которые могли бы использовать их для получения несанкционированного доступа к устройствам Apple…
Apple ранее увеличила максимальные выплаты после жалоб на низкие вознаграждения, что делало более вероятным, что даже приглашенные исследователи будут продавать уязвимости безопасности на черном рынке за гораздо более высокие суммы.
На специальном сайте Apple Security Bounty есть все подробности, включая критерии отбора.
Чтобы иметь право на получение Apple Security Bounty, проблема должна возникать в последних общедоступных версиях iOS, iPadOS, macOS, tvOS или watchOS со стандартной конфигурацией и, где применимо, на последнем общедоступном оборудовании. Эти правила соответствия предназначены для защиты клиентов до выпуска обновления, обеспечения быстрого подтверждения отчетов Apple и создания необходимых обновлений, а также для должного вознаграждения тех, кто проводит оригинальные исследования. Исследователи должны:
- Первыми сообщить о проблеме в службу безопасности продуктов Apple.
- Предоставить четкий отчет, который включает рабочий эксплойт (подробно описанный ниже).
- Не раскрывать проблему публично до того, как Apple выпустит информационное сообщение по безопасности для отчета. (Как правило, информационное сообщение выпускается вместе с соответствующим обновлением для решения проблемы).
Проблемы, неизвестные Apple и уникальные для определенных бета-версий для разработчиков и общедоступных бета-версий, включая регрессии, могут привести к бонусной выплате в размере 50%. Квалифицирующиеся проблемы включают:
- Проблемы безопасности, появившиеся в определенных бета-версиях для разработчиков или общедоступных бета-версиях, как указано на этой странице, когда это применимо. Не все бета-версии для разработчиков или общедоступные бета-версии имеют право на получение этого дополнительного бонуса.
- Регрессии ранее устраненных проблем, включая те, по которым были опубликованы информационные сообщения, которые были повторно введены в бета-версию для разработчиков или общедоступную бета-версию, как указано на этой странице, когда это применимо.
Apple опубликовала прайс-лист с максимальными выплатами, которые варьируются от 100 000 до 1 000 000 долларов США — хотя 50% бонус за бета-версию означает, что максимальная выплата составляет 1,5 миллиона долларов США. Apple также выплатит такую же сумму благотворительной организации.
| Тема | Максимальная выплата | |
|---|---|---|
| iCloud | Несанкционированный доступ к данным учетной записи iCloud на серверах Apple | $100,000 |
| Атака на устройство через физический доступ | Обход экрана блокировки | $100,000 |
| Извлечение данных пользователя | $250,000 | |
| Атака на устройство через установленное пользователем приложение | Несанкционированный доступ к конфиденциальным данным** | $100,000 |
| Выполнение кода ядра | $150,000 | |
| Атака по боковому каналу ЦП | $250,000 | |
| Сетевая атака с участием пользователя | Одноразовый несанкционированный доступ к конфиденциальным данным** | $150,000 |
| Одноразовое выполнение кода ядра | $250,000 | |
| Сетевая атака без участия пользователя | Нулевой клик от радио до ядра с физической близостью | $250,000 |
| Нулевой клик несанкционированного доступа к конфиденциальным данным** | $500,000 | |
| Нулевой клик выполнения кода ядра с сохранением и обходом PAC ядра | $1,000,000 | |
Чтобы получить максимальную выплату по программе поиска уязвимостей Apple, вам потребуется предоставить рабочий эксплойт, в противном случае будет предложена меньшая сумма.
Цель Apple Security Bounty — защита клиентов посредством понимания как уязвимостей, так и методов их эксплуатации. Отчеты, содержащие базовое подтверждение концепции вместо рабочего эксплойта, могут претендовать на выплату не более 50% от максимальной суммы. Отчеты, которым не хватает необходимой информации для эффективного воспроизведения проблемы Apple, приведут к значительному снижению размера выплаты по программе, если она будет принята вообще.
Отдельная веб-страница с примерами выплат содержит более подробную информацию.
Вчера Apple опубликовала Руководство по безопасности платформы за 2019 год, в котором подробно описаны меры безопасности, применяемые компанией к своим устройствам и услугам.