2213526

Apple zahlt bis zu 200.000 USD für entdeckte Bugs

05.08.2016 | 10:21 Uhr |

Wer eine Lücke in iOS, iCloud oder OS X findet, kann in der Zukunft auf monetäre Belohnung von Apple hoffen.

Apples Sicherheitschef Ivan Krstic hat auf der Blackhat-Konferenz angekündigt, dass nun auch Apple Bug-Jäger monetär belohnen werde. Wer an Apple Sicherheitslücken in macOS und iOS melde, können Prämien bis zu 200.000 US-Dollar erwarten, je nachdem, wie ernst die Lücke ist. In der Regel sollten die Belohnungen aber deutlich geringer ausfallen.

Mit dem Programm will Apple verhindern, dass Hacker von ihnen entdeckte und an Apple nicht gemeldete Lücken veröffentlichen, ehe Apple mit einem Patch reagieren konnte. Apple stuft Sicherheitslücken in fünf unterschiedliche Kategorien ein, die maximale Belohnung unterscheidet sich von Kategorie zu Kategorie. Konkret gibt Apple maximal folgende Belohnungen für Fehlermeldungen in den Bereichen aus:

  • Komponenten der Secure Boot Firmware (200.000 US-Dollar)

  • Extrahierung vertraulichen Materials, das vom Secure Enclave Prozessor geschützt ist (100.00 US-Dollar)

  • Ausführung willkürlichen Codes mit Rechten von Kernel Extensions (50.000 US-Dollar)

  • Nicht autorisierter Zugriff auf Daten des iCloud-Accounts auf Apple-Servern (50.000 US-Dollar)

  • Zugriff von einem Prozess in einer Sandbox aus auf Daten außerhalb der Sandbox (10.000 US-Dollar)

Fehler in jedem dieser fünf Bereiche könnten Angreifern Zugriff auf vertrauliche Nutzerdaten bieten, sei es Hackern mit krimineller Absicht oder Regierungsbehörden. Exploits für iOS hat es in der Vergangenheit zwar kaum welche gegeben, doch nutzen Jailbreaker immer wieder nicht dokumentierte Sicherheitslücken für ihre Software aus. Wie sie dabei vorgehen, zeigte das Pangu-Team auf einer anderen Veranstaltung der Konferenz anhand des Jailbreaks für iOS 9.1, den Apple mit dem Update auf iOS 9.2 geschlossen hatte. Wie das FBI im Frühjahr an die Daten des gesperrten iPhones des Attentäters von San Bernardino gekommen ist, konnte bis dato auch nicht geklärt werden.

Bisher ist kein Einbruch in die Secure Enclave bekannt, jenen geschützten Bereich des A7-Prozessors und seinen Nachfolgern, in dem iOS beispielsweise die Daten des Fingerabdrucks speichert und wesentliche Informationen zur Zahlung via Apple Pay. Die Secure Enclave verhindert zudem den Dowgrade auf eine frühere und unsicherere iOS-Version. Auch Einbrüche in die iCloud sind bis dato nicht bekannt, Opfer von Identitätsdiebstahl hatten meist schwache Passwörter oder waren aufgrund von Social Engineering und(oder Phishing ihrer Sicherheit verloren gegangen - das Schloss kann noch so sicher sein, es hilft aber nichts, wenn der Anwender seinen Schlüssel offen herumliegen lässt oder arglos weiterreicht.

Zu diesem Belohnungs-Programm lädt Apple jedoch nur ausgewählte Bug-Jäger ein. Wer das Kopfgeld kassieren will, muss neben der bloßen Identifikation der Lücke auch ein Proof-of-Concept vorlegen, wie diese ausgenutzt werden könne. Die Höhe der ausgezahlten Belohnung richtet sich schließlich danach, wie viel Interaktion vom Anwender verlangt ist (je weniger, desto höher dürfte die Belohnung ausfallen) oder wie ernst die Lücke ist. Sollten erfolgreich belohnte Bug-Jäger ihre Belohnung ganz oder teilweise diskret an Wohltätigkeitsorganisationen spenden, legt Apple den gleichen Betrag noch einmal auf die Spende drauf.

Vor rund einem halben Jahr hat die Sicherheitsfirma Zerodium einen eigenen Wettbewerb für den untethered Jailbreak in Höhe von einer Million US-Dollar ausgeschrieben. Wie dieser ausgegangen ist, haben wir hier geschrieben .

0 Kommentare zu diesem Artikel
2213526