„Apple Ups Bug Bounty“ išmoka, išplečia prieigą prie visų tyrėjų ir pradeda „MacOS“ programą

„Apple“ pristato išplėstą klaidų kompensavimo programą, apimančią „macOS“, „tvOS“, „watchOS“ ir „iCloud“ bei „iOS“ įrenginius, šią popietę Las Vegase vykusioje „Black Hat“ konferencijoje paskelbė „Apple“ saugumo inžinerijos vadovas Ivanas Krstičius.

„Apple“ 2016 m. rugpjūčio mėn. pristatė savo „iOS“ įrenginių klaidų mažinimo programą, leidžiančią saugumo tyrinėtojams, aptinkantiems „iOS“ klaidas, gauti piniginę išmoką už pažeidžiamumo atskleidimą „Apple“. Iki šiol ne „iOS“ įrenginiai nebuvo įtraukti – šis žingsnis anksčiau buvo kritikuojamas saugumo bendruomenės.

„Apple“ nebuvimas „MacOS“ klaidų kompensavimo programos antraštėse nuskambėjo šių metų pradžioje, kai vokiečių paauglys iš pradžių atsisakė pateikti išsamią informaciją apie didelį „macOS Keychain“ saugos trūkumą, nes „Apple“ negavo išmokėjimo. Nors galiausiai jis pateikė informaciją „Apple“, jis teigė tikintis, kad jo atsisakymas paskatins „Apple“ išplėsti savo klaidų mažinimo programą, kurią bendrovė iš tikrųjų padarė.

Pradėjusi naują „MacOS“ klaidų programą, „Apple“ vėliau šiais metais atveria savo kompensacijas už klaidas visiems tyrėjams ir padidina didžiausią premijos dydį nuo 200 000 USD už vieną išnaudojimą iki 1 mln. USD, atsižvelgiant į saugos trūkumo pobūdį. Nulinio paspaudimo branduolio kodo vykdymas atkakliai uždirbs didžiausią sumą.

Tyrėjai, kurie prieš išleidžiant bendrą programinę įrangą aptinka pažeidžiamumą, gali gauti iki 50 procentų premijos išmoką prie pagrindinės klaidų sumos.

Kaip pranešama anksčiau šią savaitę , „Apple“ taip pat planuoja aprūpinti patikrintus ir patikimus saugumo tyrinėtojus ir įsilaužėlius su „dev“ iPhone, dar žinomu specialiu iPhone, suteikiančiu gilesnę prieigą prie pagrindinės programinės įrangos ir operacinės sistemos, o tai padės lengviau aptikti pažeidžiamumą.

„Apple“ teikia šiuos „iPhone“ kaip dalį savo naujos „iOS“ saugos tyrimų įrenginių programos, kuri pradedama kitais metais. „Apple“ siekia, kad šios naujos klaidos būtų kompensuojamos, kad paskatintų papildomus saugumo tyrinėtojus atskleisti pažeidžiamumą, o tai galiausiai leis vartotojams sukurti saugesnius įrenginius.

(Ačiū, SecuritySteve!)