Apple plaća 2 miliona dolara stručnjaku koji otkrije grešku: Za rešenja sa ovog spiska daju nagradu

Epl (Apple) je značajno proširio svoj Security Bounty program - istraživači koji pronađu ranjivosti koje omogućavaju zero-click napade (napade bez klika) sada mogu zaraditi i do 2 miliona dolara, dok uz dodatne bonuse ukupna nagrada može dostići čak 5 miliona dolara.

Ovim potezom Epl želi da motiviše stručnjake da otkrivene propuste prijave kompaniji, umesto da ih prodaju na crnom tržištu.

Revizija programa donosi proširenu strukturu nagrada za nekoliko kategorija ranjivosti:

- Zero-click eksploatacije koje utiču na osnovne funkcije sistema: do 2 miliona dolara.

- Bežični ili napadi iz blizine (Bluetooth, NFC, UWB): do milion dolara.

- Eksploatacije jednim klikom preko Safarija ili WebKit-a: do 300.000 dolara.

- Zaobilaženje Gatekeeper zaštite na macOS-u: do 100.000 dolara

- Fizički napadi koji omogućavaju pristup podacima: do 500.000 dolara

Čak i manje ranjivosti, koje ne potpadaju pod glavne kategorije, sada donose 1.000 dolara uz standardno priznanje i CVE broj.

Da bi dodatno motivisao istraživače, Epl uvodi sistem bonusa za ranjivosti pronađene u Lockdown modu, posebnom režimu zaštite ajfona namenjenom novinarima, aktivistima i drugim korisnicima iz rizičnih grupa.

Sličan sistem bonusa važi i za otkrivanje propusta u beta verzijama iOS-a, macOS-a i drugih Epl platformi, pre nego što softver postane javno dostupan.

Kada se bonusi kombinuju, ukupna nagrada može premašiti 5 miliona dolara.

Jedna od najvećih promena je uvođenje sistema pod nazivom "Target Flags" koji omogućava fazno potvrđivanje ranjivosti.

Istraživači sada mogu dobiti delimične isplate već tokom procesa validacije, čak i pre nego što je ranjivost potpuno zakrpljena. Ovo bi trebalo da reši čestu zamerku da su kompaniji bili potrebni meseci da obradi prijave i isplati nagrade.

Eplov direktor bezbednosti Ivan Krstić izjavio je da je cilj ove revizije da se "vrhunske hakerske veštine iskoriste za jačanje bezbednosti korisnika, a ne za razvoj špijunskog softvera".

Ova odluka dolazi u trenutku kada su globalno porasli napadi zero-click tipa, poput onih koje je koristila izraelska kompanija NSO Group u svojim Pegaz kampanjama.

Kompanija je do sada kroz ovaj program od njegovog pokretanja 2020. godine isplatila više od 800 istraživača iz celog sveta koji su nagrađeni sa ukupno više od 35 miliona dolara.

Povećanjem maksimalne nagrade na 2 miliona dolara, Epl sada sustiže ili čak premašuje konkurente poput Gugla (Google) i Majkrosofta (Microsoft), pa je ovaj program jedan od najunosnijih programa za otkrivanje ranjivosti u industriji.

(Ubrzanje.rs/Informacija.rs)