Apple thưởng lớn cho các phát hiện lỗi iPadOS, macOS, tvOS, watchOS và iCloud

Ảnh: Laurenz Heymann

Cho đến mới đây, Apple đã tổ chức một chương trình trao thưởng cho những người phát hiện lỗi bảo mật dựa trên lời mời chỉ dành cho các nhà nghiên cứu bảo mật được chọn và chỉ chấp nhận các lỗi bảo mật iOS.

Bắt đầu từ 20/12, công ty sẽ chấp nhận thêm các báo cáo về những lỗ hổng của nhiều sản phẩm hơn, bao gồm iPadOS, macOS, tvOS, watchOS và iCloud. Ngoài ra, công ty cũng đã tăng phần thưởng tiền thưởng tối đa từ 200.000 USD lên 1.500.000 USD, tùy thuộc vào mức độ phức tạp và mức độ nghiêm trọng của chuỗi khai thác lỗ hổng.

Công bố các quy tắc chính thức

Để chính thức, Apple cũng đã công bố một trang mới trên trang web của công ty, chi tiết về các quy tắc của chương trình trao thưởng cho những lỗi được phát hiện, cùng với các phần thưởng mà các nhà nghiên cứu sẽ được thưởng cho mỗi lần phát hiện lỗi bảo mật mà họ gửi báo cáo.

Các quy tắc khá nghiêm ngặt và đặt ra một yêu cầu cao để dành được các trao thưởng cao. Để đủ điều kiện nhận các trao thưởng cao và nhiều trao thưởng khác nhau, các nhà nghiên cứu phải gửi báo cáo rõ ràng, bao gồm: Một mô tả chi tiết về các vấn đề được báo cáo; Bất kỳ điều kiện tiên quyết và các bước đưa hệ thống đến trạng thái bị ảnh hưởng; Một khai thác lỗ hổng được báo cáo một cách một cách hợp lý; Thông tin đầy đủ để Apple có thể giải quyết vấn đề một cách phù hợp.

Các lỗi bảo mật mới, ảnh hưởng đến nhiều nền tảng, hoạt động trên phần cứng và phần mềm mới nhất và tác động các thành phần nhạy cảm được phát hiện sẽ là cơ hội cho các nhà nghiên cứu giành giải thưởng 1,5 triệu USD.

Các lỗ hổng được tìm thấy trong các phiên bản beta cũng được đánh giá cao. Apple cho biết họ sẽ thêm 50% tiền thưởng cho các khoản trao thưởng thông thường cho bất kỳ lỗi nào được báo cáo trong bản phát hành beta.

Lý do các lỗi trong phiên bản beta được đánh giá cao là vì các báo cáo lỗi này cho phép Apple sửa các lỗi bảo mật lớn trước khi các lỗi tiếp cận các phiên bản sản xuất của phần mềm, từ đó ảnh hưởng đến hàng tỷ thiết bị.

Apple cũng sẽ trả 50% tiền thưởng cho các lỗi hồi quy. Đây là những lỗi mà Apple đã vá trước đây trong các phiên bản phần mềm cũ hơn, nhưng chúng đã vô tình được xuất hiện lại trong mã sau đó.

Các lỗ hổng cho phép các cuộc tấn công “zero click” (không cần nhấp vào) hoặc một cú nhấp chuột là những lỗ hổng nếu được phát hiện sẽ mang lại phần thưởng cho các nhà nghiên cứu; tuy nhiên, Apple yêu cầu các báo cáo nộp này phải đề cập một chuỗi khai thác lỗ hổng đầy đủ.

Nếu một trong những cuộc tấn công này sử dụng ba lỗi bị liên quan đến nhau, nhà nghiên cứu sẽ phải gửi một chuỗi khai thác đầy đủ kết hợp cả ba lỗi và không chỉ một - nếu họ muốn nhận được phần thưởng tối đa.

Patrick Wardle, nhà nghiên cứu bảo mật chính tại Jamf và một chuyên gia bảo mật của Apple đã trao đổi với ZDNet: "Một trong những thách thức lớn nhất của chương trình là lọc ra tất cả các báo cáo phụ, nhận biết đâu là lỗi thực sự/hợp lệ và tác động mà lỗi có thể có”.

"Vì vậy, cần phải đặt trách nhiệm cho nhà nghiên cứu, điều đó giúp Apple nhanh chóng và hiểu đầy đủ những lỗi nào cần được ưu tiên và phải vá (trước tiên)."

Các mức thưởng cho các phát hiện lỗi bảo mật:

Truy cập trái phép tài khoản iCloud	25.000 USD cho phát hiện kiểm soát trái phép giới hạn một tài khoản iCloud 100.000 USD cho phát hiện kiểm soát trái phép diện rộng một tài khoản iCloud
Truy cập vật lý vào thiết bị: Vượt qua màn hình khóa	25.000 USD cho phát hiện truy cập một lượng dữ liệu nhỏ nhạy cảm từ màn hình khóa (nhưng không bao gồm một danh sách các ứng dụng đã được cài đặt hoặc layout của màn hình Home). 50.000 USD cho phát hiện truy cập từng phần dữ liệu nhạy cảm từ màn hình khóa. 100.000 USD cho phát hiện truy cập rộng vào các dữ liệu nhạy cảm từ màn hình khóa
Truy cập thiết bị: Trích xuất dữ liệu người sử dụng	100.000 USD cho phát hiện trích xuất từng phần dữ liệu nhạy cảm từ thiết bị được khóa sau khi khi mở khóa lần đầu. 250.000 USD cho phát hiện trích xuất diện rộng dữ liệu nhạy cảm từ thiết bị đã khóa sau khi mở khóa lần đầu.
Ứng dụng đã cài đặt của người sử dụng: Truy cập trái phép dữliệu nhạy cảm	25.000 USD cho phát hiện truy cập ứng dụng tới một một lượng nhỏ dữ liệu nhạy cảm thường được bảo vệ bởi 1 lệnh TCC. 50.000 USD cho phát hiện truy cập từng phần vào dữ liệu nhạy cảm thường được bảo vệ bởi lệnh TCC. 100.000 USD cho phát hiện tiếp cận ứng dụng diện rộng vào dữ liệu nhạy cảm thưởng được bảo vệ bởi 1 lệnh TCC hoặc thử nghiệm nền tảng
Ứng dụng đã cài đặt của người sử dụng: Thực thi mã Kernel	100.000 USD cho phát hiện thực thi mã Kernel từ một ứng dụng 150.000 USD cho phát hiện thực thi mã Kernel từ một ứng dụng, gồm vượt qua PPL hoặc trược PAC kernel
Ứng dụng đã cài đặt của người sử dụng: Tấn công kênh biên CPU	250.000 USD cho phát hiện tấn công kênh biên CPU cho phép bất kỳ dữ liệu nhạy cảm nào bị rò rỉ từ các quy trình khác hoặc các cấp độ ưu tiên cao hơn.
Tấn công mạng nhờ giao tiếp người sử dụng: Truy cập trái phép nhờ một cú nhấp vào dữ liệu nhạy cảm	75.000 USD cho phát hiện truy cập từng phần từ xa nhờ 1 nhấp chuột vào dữ liệu nhạy cảm. 150.000 USD cho phát hiện truy cập rộng từ xa nhờ 1 nhấp chuột vào dữ liệu nhạy cảm
Tấn công mạng không tương tác người sử dụng: Thực thi mã Kernel nhờ 1 nhấp chuột	150.000 USD cho phát hiện thực thi mã kernel từ xa nhờ 1 nhấp chuột 250.000 USD cho phát hiện thực thi mã kernel từ xa nhờ một nhấp chuột
Tấn công mạng không tương tác người sử dụng: Thực thi mã Kernel nhờ 1 nhấp chuột	50.000 USD cho phát hiện thực thi mã nhờ click zero đối với sóng vô tuyến (ví dụ, băng gốc, bluetooth hoặc WiFi) với việc chỉ tiệm cận vật lý mà không có leo thang đến kernel 200.000 USD cho phát hiện truy cập từng phần bằng “zero click” vào dữ liệu nhạy cảm. 250.000 USD cho phát hiện thực thi mã từ xa kernel nhờ “zero click”.
Tấn công mạng không giao tiếp người sử dụng: Truy cập trái phép nhờ "zero click" vào dữ liệu nhạy cảm	100.000 USD cho phát hiện tấn công nhờ “zero click” có thể phát động và thu thập thông tin từ một cảm biến (ví dụ: camera, microphone hay GPS). 250.000 USD cho phát hiện truy cập từng phần dữ liệu nhạy cảm nhờ “zero click”. 500.000 USD cho phát hiện tiếp cận rộng nhờ “click zero” vào dữ liệu nhạy cảm.
Tấn công mạng không tương tác người sử dụng: Thực thi mã Kernel nhờ “zero click” với lưu và vượt Kernel PAC	1.000.000 USD cho phát hiện chuỗi từ xa “click zero” bằng thực thi và lưu kernel toàn diện, bao gồm vượt PAC kernel trên phần cứng mới nhất