Apple的Bug Bounty计划有利于数量的质量

经过多年的不愿意支付研究人员的利用，Apple已经发出，并准备在最新版本的iOS和最新的iOS中发现的关键漏洞，准备发出高达200,000美元的价格。

Apple周四在拉斯维加斯的黑帽安全会议上宣布了该计划。它于9月开始，与其他大型技术公司运行的赏金计划不同，它只会邀请。

该计划将从Apple挑选的几十名研究人员开始，尽管任何提交有资格获得奖励的漏洞的Outsider都可以获得奖励并被邀请加入该计划，但IvanKrstić表示，Apple安全工程和建筑负责人。

“它并不意味着成为一个独家俱乐部，”他说。

Apple表示愿意为捐赠慈善机构奖励奖励的研究人员提出两倍。

资讯安全公司证券证券交易所的CEO丰富的Mogull指出，Bug Bounty程序可以有缺陷的程序，并说它不是苹果公司必然要做的。但他说这是一个很好的开始，苹果可以从中受益。

一些公司“不真正希望与各国政府和资助的犯罪组织招标战争，其中一些愿意为某些漏洞支付高达一百万美元，”Mogull在一个博客帖子中说。

他说，公共BUG赏金计划也可以以低质量报告的形式产生大量噪音，即不一定导致错误修复，但仍然消耗工程资源来调查。

Mogull认为，苹果计划专注于质量超过数量，并有一个明确的目标：在IO的关键领域找到可利用的错误，被认为是高度优先事项。它还迫使研究人员证明他们找到的任何缺陷的影响，他们找到了概念的验证漏洞。这比简单地提交可能是至关重要的错误并将其留给公司调查的错误。

在安全启动固件组件中，Apple将支付高达200,000美元的临界缺陷，可用于可以从安全的固定处理器中提取机密材料的漏洞100,000美元 - 在iPhone 5s和更高版本中执行加密操作的安全芯片，为错误为50,000美元可以在没有授权的情况下使用内核权限，50,000美元用于访问Apple的Servers上的iCloud帐户数据的方式，为漏洞提供25,000美元，以便从沙箱进程内部提供访问到该沙箱外的用户数据。

Krstić表示，这种赏金结构反映了寻找五种类型的缺陷中的每一个。

Apple Hasn“T始终与安全社区有最好的关系。虽然许多研究人员承认Apple产品的稳固安全性，但它经常被批评它传达安全问题，或者不够通信。Apple也是推出安全奖励计划的最后一个大公司之一。

可以完全妥协iOS指挥灰色市场的最高价格的漏洞。当iOS 9出来时，一名剥削经纪人在其客户中依赖政府机构的经纪人为浏览器的越狱提供了100万美元 - 这是一个漏洞利用，可以通过访问网站来获得对iOS的root访问权限。联邦调查局还从黑客购买了一个iOS漏洞，以便在圣贝纳迪诺射手之一的Syed Farook的锁定iPhone上访问数据。

观众在黑色帽子上询问为什么Apple等待这么长时间才能推出赏金计划，Krstić表示，该公司已从研究人员中听到，发现普遍困难的危险性越来越困难，并且希望奖励那些花时间做的人。