🎯 Два миллиона за взлом: Apple удвоила награды для охотников за багами

🎯 Два миллиона за взлом: Apple удвоила награды для охотников за багами

Apple объявила о масштабном обновлении программы bug bounty, увеличив максимальное вознаграждение до 2 миллионов долларов. С учетом бонусов за обход режима блокировки Lockdown Mode и уязвимости, найденные в бета-версиях ПО, общая выплата может превысить 5 миллионов долларов. Apple утверждает, что это «крупнейшее вознаграждение среди всех баунти-программ».

Теперь компания в мотивации исследователей делает акцент на полных цепочках эксплойтов, а не отдельных уязвимостях, признавая очевидный факт: реальные атаки обычно используют комбинацию нескольких багов. Вознаграждения за векторы удаленного проникновения существенно увеличены. Среди новых категорий — обход песочницы браузера WebKit одним кликом стоимостью до 300 тысяч долларов и беспроводные эксплойты через радиоканал любой частоты за миллион. Полный обход системы безопасности Gatekeeper в macOS теперь оценивается в 100 тысяч.

Главная новинка программы — система «целевых флагов» Target Flags, вдохновленная играми capture-the-flag. Когда исследователь успешно эксплуатирует уязвимость, он захватывает специальный флаг, доказывающий точный уровень полученного доступа — будь то выполнение кода или произвольное чтение и запись данных. Apple может проверить эти флаги, поэтому исследователи получают уведомление о награде сразу после валидации, а выплату — в ближайшем платежном цикле. Раньше приходилось ждать месяцами, пока компания выпустит патч.

Обновленная программа вступит в силу с ноября 2025 года. С момента публичного запуска в 2020 году Apple выплатила более 35 миллионов долларов свыше 800 исследователям. Видимо, компания решила, что лучше щедро платить белым хакерам, чем потом разгребать последствия работы черных. Разумный подход, надо признать.

@fixed