Apple oferece US$ 1 milhão para quem encontrar vulnerabilidades em seus dispositivos

A Apple aumentou de US$ 200 mil para US$ 1 milhão a recompensa para pesquisadores que conseguirem encontrar vulnerabilidades em seus iPhones e Macs. De acordo com a Forbes, esse é o maior prêmio já pago por uma empresa de tecnologia para esse tipo de programa, conhecido como bug bounty, e que agora será aberto a todos os pesquisadores que desejarem fazer parte — e não apenas para convidados, como era feito até então.

A recompensa total de US$ 1 milhão será dada para quem encontrar uma brecha no kernel — núcleo do iOS — sem que seja necessário nenhum clique do proprietário do iPhone. Também serão pagos US$ 500 mil a pesquisadores encontrarem um ataque de rede que não requer interação do usuário. Além disso, os participantes do programa podem receber um bônus de 50%  se encontrarem pontos fracos no software antes dele ser lançado.

A companhia também está lançando um bug bounty para os sistemas operacionais de Macs, watchOS e Apple TV, conforme foi anunciado pelo engenheiro de segurança da Apple, Ivan Krstić, durante conferência da Black Hat nesta quinta-feira, 8 de agosto, em Las Vegas. Os participantes do bug bounty receberão "dispositivos de desenvolvedores" para poder explorar as possíveis falhas. Esses dispositivos permitem que os pesquisadores mergulhem ainda mais no iOS podendo, por exemplo, pausar o processador para ver o que está acontecendo com os dados na memória. O programa iOS Security Research Device será feito por aplicação e deve iniciar no próximo ano.

A estratégia da Apple de aumentar a recompensa ocorre perante um mercado onde as explorações de vulnerabilidades estão cada vez maiores e informações são vendidas a agências governamentais por valores altos. Com o programa de recompensa, pelo menos, a companhia consegue se antecipar sobre vulnerabilidades e atrair esses profissionais para um trabalho em conjunto com a empresa. Resta saber se o valor da recompensa é suficientemente atraente para que um pesquisador não venda essas vulnerabilidades no mercado negro. ? ?