Apple weitet Bug-Bounty-Programm aus
Wie erwartet wird nun auch macOS abgedeckt – und endlich dürfen nicht nur ausgewählte Sicherheitsforscher mitmachen.
Hacken am Mac.
(Bild: dpa, Silas Stein)
Apple will sein Bug-Bounty-Programm deutlich ausweiten. Künftig gibt es für aufgefundene Sicherheitslücken im Code des Konzerns bis zu eine Million US-Dollar. Außerdem werden erstmals auch macOS-Geräte abgedeckt und der Konzern öffnet das Programm für weitere Sicherheitsforscher.
Kritik an Apple
Bisher waren von Apple direkt höchstens 200.000 Dollar zu bekommen, während auf dem "freien Markt" für iPhone-Exploits teilweise Millionen geboten wurden. Zudem wurden von Apple allein bestimmte iOS-Lücken abgedeckt und Apple suchte sich die Forscher, die am Bug-Bounty-Programm teilnehmen durften, selbst aus. Apple hatte das Programm im August 2016 eingeführt und seitdem einiges an Kritik einstecken müssen.
Dieser scheint das Unternehmen nun begegnen zu wollen. Für problematische Bugs, die in Betas neuer Betriebssysteme gefunden werden, zahlt Apple so künftig noch einmal 50 Prozent mehr, wie der zuständige Mitarbeiter Ivan Krstic in der Nacht zum Freitag auf der Sicherheitskonferenz Black Hat mitteilte.
Zero-Click-Kernel-Code-Execution mit Persistence
Weiterhin werden von Apples Bug-Bounty-Programm nun auch Apple TV und Apple Watch abgedeckt. Zudem will Apple für iCloud-Lücken zahlen. Wem es gelingt, unautorisierten Zugriff auf iCloud-Account-Daten auf Apples Servern zu erlangen, kann so bis zu 100.000 Dollar erhalten. Der physische Zugriff auf Nutzerdaten wird mit maximal 200.000 Dollar bezahlt. Am teuersten sind sogenannte Zero-Click-Kernel-Code-Executions, die auf dem Gerät verbleiben (Persistence) – hierfür gibt es besagte Million (maximal). Dabei müssten Nutzer nichts tun, um sich zu infizieren.
Die Öffnung für "alle" Sicherheitsforscher beginnt laut Krstic "später in diesem Jahr". Wie genau eine Anmeldung bei Apple erfolgen wird, soll noch mitgeteilt werden. Zudem plant der Konzern nun, an ausgewählte Experten Dev-Geräte zu verteilen – das sind insbesondere iOS-Maschinen, die noch nicht komplett abgesichert sind. Solche gelangen immer wieder in den freien Markt und ermöglichen es, Lücken auszufinden, die in Verkaufsmodellen nicht mehr so leicht erreichbar sind. Dev-Devices gehen allerdings nur an vorher ausgewählte und "vertrauenswürdige" Sicherheitsforscher.
Lesen Sie dazu auch:
(bsc)
