Apple dublează recompensele pentru vulnerabilități: până la 5 milioane $

Apple a anunțat o actualizare a programului său de recompense pentru vulnerabilități, care va intra în vigoare în noiembrie și promite unele dintre cele mai mari sume din industrie. Compania dublează plafonul pentru lanțurile de exploatare comparabile ca complexitate cu atacurile de tip spyware, de la 1 milion de dolari la 2 milioane. Pentru vulnerabilități deosebit de critice — inclusiv erori în versiunile beta de software sau ocolirea Lockdown Mode în Safari — recompensa poate ajunge la 5 milioane de dolari. Mișcarea transmite un mesaj clar: cele mai sofisticate breșe merită cea mai mare atenție.

Și alte scenarii de atac primesc majorări considerabile. Exploatările ce se declanșează cu un singur click pot aduce până la 1 milion de dolari, față de 250.000 anterior. Recompensa maximă pentru vulnerabilități ce necesită proximitate fizică față de dispozitiv urcă la 1 milion, iar obținerea accesului la dispozitive blocate poate fi răsplătită cu până la 500.000. În plus, Apple va plăti până la 300.000 de dolari pentru un lanț de atac ce combină execuție de cod în WebContent cu o evadare din sandbox. În termeni practici, compania ridică ștacheta acolo unde barierele tehnice sunt mai greu de depășit.

Potrivit lui Ivan Krstić, vicepreședinte Apple responsabil de securitate, compania a plătit în ultimii ani peste 35 de milioane de dolari către mai mult de 800 de cercetători. El a subliniat că sumele foarte mari sunt rare, deși Apple a acordat de mai multe ori 500.000 de dolari pentru erori critice. Istoricul arată că pragurile ridicate nu sunt doar pentru efect, însă nu se ating ușor.

Compania a evidențiat că toate atacurile documentate la nivel de sistem pe iOS au fost, în practică, asociate cu așa-numitul spyware mercenar, folosit cel mai des de entități guvernamentale pentru supraveghere țintită. Noile protecții, precum Lockdown Mode și Memory Integrity Enforcement, îngreunează astfel de atacuri, chiar dacă adversarii continuă să se adapteze. Prin creșterea recompenselor, Apple indică direcția dorită pentru eforturile cercetătorilor: vulnerabilitățile cu impact real, capabile să schimbe echilibrul în materie de securitate.