Appleのバグ報奨金プログラムが低額の報酬によって妨げられていると報告書が述べる

Apple の招待制バグ報奨金プログラムは、高額の報酬を求めるセキュリティ研究者らが発見されたエクスプロイトをグレーマーケットでの高額販売のために保存しているため、出遅れている。

が行った一連のインタビューの中で、マザーボード、Appleの取り組みに参加するよう招待された研究者らは、iOSのバグは貴重すぎる報告すること。

特に、参加者は発見されたシステムの欠陥を報告することに消極的です。その理由は、バグがグレーマーケットでより価値があるか、オペレーティング システムの他の領域での作業が禁止されているかのいずれかです。これまでのところ、このプログラムに招待された研究者はまだ一度も賞金を公に申請していない。

昨年 Apple のプログラムに参加した Zimperium のセキュリティ研究者である Nikias Bassen 氏は、「バグを他人に売れば、より多くの現金を手に入れることができます」と述べています。 「お金のためだけにやっているのであれば、Apple に直接（バグを）与えるつもりはないでしょう。」

10人の研究者のうち、マザーボードインタビューしたところ、誰もAppleに報告書を提出していなかった。

Black Hatカンファレンスで発表2016年に, Appleのバグ報奨金プログラムは、ハイレベルのコンピューティング資産とファーストパーティのセキュリティ要素の防御を強化することを期待して、ゼロデイ欠陥を発見するために創設されました。最高支払額は、セキュア ブート ファームウェア コンポーネントに関連するエクスプロイトの場合は 200,000 ドルに達しますが、Secure Enclave Processor によって保護された機密資料の抽出の場合はすぐに 100,000 ドルに下がります。これより低い支払いには、カーネル特権による任意のコードの実行に対して 50,000 ドル、Apple サーバー上の iCloud アカウント データへの不正アクセスに対して 50,000 ドル、サンドボックス プロセスからそのサンドボックス外のユーザー データへのアクセスに対して 25,000 ドルが含まれます。

報告書によると、Zerodiumのような民間企業は、iPhoneを脱獄できるバグ一式に対して150万ドル以上を支払っているという。他の企業は、iOS エクスプロイトの本質的価値に応じて 50 万ドルで受け入れます。これらの企業は法的境界内で事業を行っていると主張し、発見されたゼロデイエクスプロイトを自社のネットワークや法執行機関、諜報機関を保護しようとしている企業に売りつけています。

ハッカーは、Apple にバグを報告すると、自分たちの研究が危険にさらされる可能性があるため、それを躊躇する可能性があります。 iOS は非常に厳重に保護されているため、オペレーティング システムの奥深くに隠された他の欠陥にアクセスするには複数のバグが必要です。 Apple にバグを提示すると、その欠陥が確実に修正されるため、研究者がアクセスできる可能性のある手段が制限されます。

セキュリティ研究者がイベントに招待されましたバグ報奨金の概要報告書によると、アップルは昨年、公開モデルに通常存在する特定の制限を欠いた特別なiPhone、つまり「開発者向けデバイス」の提供を求めたという。これらのデバイスを使用すると、ハッカーは iOS の奥深くまで調査を続けながらバグを報告できるようになります。 Apple はそのようなデバイスの提供を拒否しました。