В ноябре Apple обновит Security Bounty — программу вознаграждений за обнаружение уязвимостей в ПО, которая предложит исследователям безопасности одни из самых высоких наград в отрасли. Максимальная выплата за обнаружение цепочек эксплойтов, которые могут достигать тех же целей, что и сложные атаки с использованием шпионского софта выросла с $1 млн до $2 млн, а за обнаружение наиболее критических уязвимостей можно получить до $5 млн.
Столь крупные суммы Apple готова выплачивать за обнаружение цепочек эксплойтов, которые не требуют взаимодействия с пользователем. Под наиболее критическими уязвимостями Apple понимает ошибки в бета-версиях программного обеспечения и обход режима блокировки в обновлённой архитектуре безопасности браузера Safari.
Кроме того, компания увеличила с $250 тыс. до $1 млн награду за обнаружение цепочек эксплойтов, использующих действия пользователя. Такая же премия полагается за обнаружение атак, требующих физического доступа к устройствам, а за сообщение об успешных атаках, требующих доступа к заблокированным устройствам, компания готова платить до $500 тыс. Исследователи, способные продемонстрировать цепочку выполнения кода веб-контента с выходом из песочницы, могут получить до $300 тыс.
Вице-президент Apple по разработке и архитектуре безопасности Иван Крстич (Ivan Krstić) сообщил, что с момента запуска и расширения программы за последние несколько лет компания выплатила около $35 млн более чем 800 исследователям безопасности. Крупные вознаграждения довольно редки, хотя известно, что Apple неоднократно выплачивала белым хакерам по $500 тыс.
Apple заявила, что единственные зарегистрированные атаки системного уровня на iOS были связаны с программами-шпионами, которые исторически связаны с государственными структурами и обычно используются для атак на конкретных лиц.
Компания надеется, что новые функции, такие как режим блокировки и обеспечение целостности памяти, существенно повысят уровень безопасности её платформ. Однако методы киберпреступников совершенствуются, и Apple рассчитывает, что обновление программы вознаграждений позволит «стимулировать передовые исследования наиболее критических направлений атак, несмотря на возросшую сложность».
