Экономия начинается с безопасности: Apple урезала выплаты за найденные уязвимости в macOS
Apple существенно сократила выплаты исследователям безопасности за обнаруженные уязвимости в macOS. Об этом пишет известный специалист по безопасности Чаба Фицл, главный исследователь macOS в компании Iru.
По его словам, некоторые вознаграждения уменьшились вдвое, а самое драматичное падение коснулось полного обхода системы TCC — с более чем 30 тысяч долларов до скромных пяти тысяч. И это на фоне растущего количества вредоносных программ для Маков.
TCC расшифровывается как Transparency, Consent, and Control — это фреймворк «прозрачности, согласия и контроля», который следит за тем, чтобы приложения получали доступ к конфиденциальным данным только с явного разрешения пользователя. Механизм защищает файлы, содержимое штатных приложений (те же Контакты и Календарь), а также доступ к веб-камере, микрофону и записи экрана. Полный обход TCC позволяет злоумышленнику получить доступ ко всей этой информации без ведома владельца. Раньше за обнаружение такой критической бреши платили 30,5 тысячи долларов, теперь — всего пять. За отдельные категории TCC вознаграждение упало с 5-10 тысяч до одной. Обход песочницы macOS тоже подешевел вдвое — с десяти до пяти тысяч.
Фицл отмечает, что подобные изменения выглядят странно, особенно учитывая, что Apple постоянно декларирует приватность как одну из главных ценностей. По его мнению, такое решение можно интерпретировать двумя способами: либо компания признает, что не может оперативно исправить эти проблемы и просто перестала беспокоиться, либо не желает за это платить. В любом случае, сигнал не самый обнадеживающий. Исследователей безопасности, специализирующихся на macOS, и так немного, а с учетом урезанных премий их станет еще меньше.
Снижение выплат также повышает вероятность того, что обнаруженные уязвимости будут продаваться на черном рынке вместо того, чтобы попадать к Apple. Особенно абсурдно это выглядит на фоне рекордного количества вредоносного программного обеспечения для Mac за последнее время. Apple пока никак не комментировала ситуацию. Возможно, в Купертино просто решили, что безопасность — это как раз та область, где можно немного сэкономить.
