Condividi su:

Apple ha aumentato enormemente la ricompensa che offre agli hacker per trovare vulnerabilità su iPhone e Mac, fino a $ 1 milione. È di gran lunga la più alta ricompensa per scovare bug offerta da qualsiasi azienda tecnologica.

È partito da $ 200.000 e in autunno il programma sarà aperto a tutti i ricercatori. In precedenza, solo coloro che partecipavano al programma di ricompensa dei bug su invito della società erano idonei a ricevere premi.

Apple sta anche lanciando una ricompensa di bug per Mac, e la sta anche estendendo a watchOS e al suo sistema operativo Apple TV. Gli annunci sono arrivati ​​a Las Vegas durante la conferenza di Black Hat, in cui il capo ingegnere della sicurezza Ivan Krstić di Apple ha tenuto un discorso sulla sicurezza di iOS e macOS.

Apple darà inoltre ai partecipanti alla ricerca di BUG “dispositivi per sviluppatori”, telefoni che consentono agli hacker di immergersi ulteriormente in iOS. Ad esempio, possono mettere in pausa il processore per vedere cosa succede con i dati in memoria. 

Krstić ha confermato che il programma iOS Security Research Device arriverà l’anno prossimo.

$ 1 milione per un bug su iPhone

L’intero milione andrà ai ricercatori che possono trovare una falla nel kernel, il nucleo di iOS, con zero clic richiesti dal proprietario dell’iPhone. 

Altri $ 500.000 saranno assegnati a coloro che possono trovare un “attacco di rete che non richiede interazione da parte dell’utente”.

C’è anche un bonus del 50% per gli hacker che riescono a trovare punti deboli nei software prima che vengano rilasciati.

1 milione per un bug su iPhone può sembrare molto ma Apple sta aumentando quei premi di fronte ad un mercato privato sempre più redditizio in cui gli hacker vendono le stesse informazioni ai governi per ingenti somme.

Come ha detto Maor Shwartz, il costo di un singolo exploit (un programma che utilizza le vulnerabilità per assumere il controllo di un computer o di un telefono) può raggiungere $ 1,5 milioni. 

Un exploit indirizzato a WhatsApp in cui non è richiesto alcun clic da parte dell’utente, ad esempio, può essere venduto ad un’agenzia governativa a quel prezzo, sebbene tali strumenti siano rari. Ne verranno venduti solo uno o due all’anno, da un pool di circa 400 ricercatori che si concentrano su tale hacking di fascia alta. 

È davvero difficile trovare le vulnerabilità e produrre un exploit funzionante

Una società chiamata Zerodium fa da tramite fra i ricercatori e i suoi clienti governativi, che restano sconosciuti. A gennaio, la compagnia ha annunciato che offriva $ 2 milioni per un hack di iPhone da remoto.

Krstić ha dichiarato che la generosità nelle ricompense dei bug è stata finora un successo, con 50 bug segnalati dal lancio del 2016.

Condividi su: