r   e   k   l   a   m   a
r   e   k   l   a   m   a

Skąpstwo Apple nie popłaca – nikt nie zgłasza luk 0-day za marne pieniądze

Strona główna AktualnościBEZPIECZEŃSTWO

Jesteś uznanym ekspertem od systemów operacyjnych Apple. Po kilku miesiącach wytężonej pracy znalazłeś w nich błąd, który mógłby pozwolić na obejście zabezpieczeń iPhone’a. Kolejne kilka miesięcy – faktycznie, to działa, masz gotowego exploita, dzięki któremu na iUrządzeniach możesz zdalnie uruchomić dowolny kod. Co robisz dalej? Możesz zgłosić się do Apple, które za ujawnienie tych informacji zapłaci ci całe 50 tysięcy dolarów. Możesz odezwać się do ludzi z szarego rynku, firm takich jak Zerodium, które skupują exploity, by pomóc swoim klientom w obronie przed zagrożeniami. Dostaniesz przynajmniej 500 tys. dolarów. Możesz wreszcie odezwać się do NSA albo wielkich organizacji cyberprzestępczych – te na zakupy exploitów 0-day mają wielomilionowe budżety. Czy ktoś się dziwi więc, że mało kto zgłasza Apple swoje odkrycia związane z zagrożeniami bezpieczeństwa?

Najtrudniejsza praca na świecie?

Program nagradzania badaczy za odkrycie luk w oprogramowaniu Apple uruchomiło bardzo późno, dopiero w sierpniu zeszłego roku. Wcześniej firma z Cupertino mogła liczyć tylko na tych, którzy robią to dla sławy czy sportu. Nie było ich wielu – poziom zabezpieczeń iOS-a jest tak wysoki, że znalezienie usterek możliwych do wyexploitowania jest daleko trudniejsze niż w wypadku innych systemów. Trudno by było inaczej, gdy producent kontroluje każdy aspekt urządzenia, zarówno sprzętu jak i oprogramowania.

Taka sytuacja doprowadziła do wyniesienia cen nie tylko exploitów, ale i samych odkrytych luk, do niebotycznych poziomów na czarnym i szarym rynku. Gdy więc Apple ogłosiło swój program nagród dla badaczy, reakcja sceny była entuzjastyczna – w końcu nie każdy ma ochotę na kontakty z ludźmi szemranej reputacji, a z czegoś żyć trzeba. Gdy okazało się, ile za to Apple chce płacić… entuzjazm się ulotnił.

r   e   k   l   a   m   a

Do 200 tys. dolarów za lukę w firmware pozwalającą na przejęcie kontroli nad rozruchem iPhone’a. Do 100 tys. dolarów za wydobycie wrażliwych danych chronionych sprzętowo przez Secure Enclave Processor. Do 50 tys. dolarów za uruchomienie dowolnego kodu z uprawnieniami kernela. Do 50 tys. dolarów za nieupoważniony dostęp do kont iCloud. Do 25 tys. dolarów za przebicie się przez sandboksa do danych użytkownika – takie stawki zaproponowało Cupertino w odniesieniu do luk w iOS-ie i macOS-ie. Zgromadzeni na konferencji Black Hat 2016 nie

Dla niewtajemniczonych to mogą być duże pieniądze. Wystarczy jednak pomyśleć, że chodzi o rezultaty setek godzin pracy wybitnych specjalistów w ezoterycznej dziedzinie, dzięki którym rośnie bezpieczeństwo produktów jednej z najbogatszych firm świata, by widać było, że jest coś nie tak. I faktycznie – program, do którego można przystąpić tylko na imienne zaproszenie, nie przyniósł żadnych rezultatów. Nikt się nie schylił po grosze rzucane przez Apple. Pieniądze są znacznie lepsze, tyle że gdzie indziej.

Rynek zweryfikował ceny

Gdy w zeszłym roku Apple zmagało się z prawnikami FBI, odmawiając pomocy śledczym w dostaniu się do danych przechowywanych na iPhonie zamachowca z San Bernardino, posiadacze wiedzy o tym, jak się do danych tych dostać cierpliwie czekali. W końcu FBI dało sobie spokój z Apple i zaoferowało pieniądze niezależnym badaczom. Podobno wzięli je badacze z Izraela – którzy za atak pozwalający włamać się do iPhone’a 5c z iOS-em 9 wzięli ponad 1,2 mln dolarów.

O takich kwotach mówią wszyscy. Wspomniane na początku Zerodium za nowego jailbreaka na iOS-a zapłaci nawet 1,5 mln dolarów. Exodus Intelligence w swoich programie partnerskich gotowe jest zapłacić za podatności w iOS-ie 9.3 i nowszych do 500 tys. dolarów. Nie są to kwoty bez pokrycia – w 2015 roku Zerodium zapłaciło komuś milion dolarów za zdalny jailbreak iOS-a 9.1, przeprowadzony przez przeglądarkę.

Nie dziwi więc, że gdy we wrześniu 2016 roku znany ekspert od Apple Jonathan Zdziarski przeprowadził sondaż, pytając ankietowanych, komu by sprzedali odkryty przez siebie 0-day, czy Zerodium, czy Apple, 67% odpowiedziało, że woli Zerodium.

To jednak nie wszystko. Także ci badacze, których nie interesują pieniądze, nie czują potrzeby pomagania firmie z Cupertino. Niektórzy po prostu nie chcą, by bugi zniknęły z systemu, bo wykorzystują je do swoich własnych badań. Znany twórca jailbreaków Luca Todesco stwierdził, że wyjawiając swoje odkrycia Apple, zniszczyłby swoją przyszłość, wartą o wiele więcej niż 50 tys. dolarów. Odkrytych bugów się więc nie raportuje, by nie komplikować sobie życia. Apple nie udostępnia już dziś nikomu urządzeń deweloperskich, pozbawionych niektórych zabezpieczeń, które służyły kiedyś zaproszonym badaczom do prac w zakresie bezpieczeństwa.

Co z tego wynika dla Zwykłych Użytkowników sprzętu Apple’a? Póki co, o ile nie są obiektem zainteresowania FBI, właściwie to nic. Zwykłych cyberprzestępców też nie stać na exploity w takich cenach. Gorzej, gdy pojawi się na rynku jakiś poważny gracz, który uzna, że masowy cyberatak wymierzony w posiadaczy sprzętu Apple może mieć wartość strategiczną. Wtedy Apple i jego użytkownicy będą mogli tylko płakać nad skąpstwem Nadgryzionego Jabłka.

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.   

Trwa konkurs "Ogól naczelnego", w którym codziennie możecie wygrać najnowsze maszynki systemowe Hydro Connect 5 marki Wilkinson Sword.

Więcej informacji

Gratulacje!

znalezione maszynki:

Twój czas:

Ogól Naczelnego!
Znalazłeś(aś) 10 maszynek Wilkinson Sword
oraz ogoliłaś naszego naczelnego!
Przejdź do rankingu
Podpowiedź: Przyciśnij lewy przycisk myszki i poruszaj nią, aby ogolić brodę.