苹果开放漏洞悬赏计划 提交有效报告者奖励加奖金

北京时间12月21日上午消息，据外媒报道，苹果已经向所有安全研究人员开放了它的漏洞（“bug”）悬赏计划，为发现它的操作系统中的主要缺陷提供100万美元或更多的奖励。

该计划自2016年推出以来一直是受邀开放，现在已超出了iOS的范围，包括了苹果其它的操作系统在内。苹果在今年8月的黑帽安全大会上首次宣布面向公众开放该计划，iCloud、IPadOS、macOS、tvOS和watchOS等多个操作系统将被列入漏洞悬赏名单列表中。

研究人员必须提交一份关于某个漏洞问题的详细描述，并提供足够的细节，以便苹果能够复制它。

当研究人员发现能影响多个苹果平台的漏洞，尤其是当这个漏洞影响到最新的苹果设备和软件时，他们将得到最高的回报。在测试版中发现的任何漏洞都将为研究人员在标准奖励之外再赢得额外50%的奖金。这些潜在的收益包括：发现可以绕过设备锁屏的漏洞可赚取25000美元到100000美元；获得未经授权的iCloud访问可以净赚25000美元到100000美元；从锁定的设备中提取到敏感数据则可能赚到100000美元到250000美元。

然而，对于研究人员来说，最有利可图的漏洞将是那些在用户不采取任何行动的情况下就可攻击并接管某台设备的漏洞，即所谓的零点击攻击。在这些情况下，对赏金获取的要求是非常严格的，需要与报告一起提交完整的利用链（exploitchain）。

尽管从2016年才开始实施，苹果的漏洞悬赏计划是这些科技巨头中利润较为丰厚的项目之一，而现在该计划也像苹果的竞争对手的漏洞悬赏项目那样面向公众开放了。

该漏洞悬赏计划之所以进一步向公众扩展，可能部分是为了应对iOS13所包含的大量漏洞，包括一些安全上的缺陷。彭博社11月报道说，为准备2020年发布iOS14，苹果改变了测试软件的方式，使之更符合谷歌、微软以及其他公司隔离和测试软件变化的方式。

作为修订计划的一部分，苹果公司表示，将把奖金的捐赠与符合条件的慈善机构相匹配，并公开表彰提交有效报告的研究人员。