Apple baut Bug-Bounty-Programm aus, gibt bis zu 2 Millionen Dollar

Hacker und Sicherheitsexperten, die Lücken in Apples Betriebssystemen finden, können künftig mit deutlich höheren Auszahlungen im Rahmen des Bug-Bounty-Programms des Konzerns rechnen. Damit will sich der iPhone-Hersteller attraktiver für die Security-Community machen – und wohl auch verhindern, dass für Angriffe ausnutzbare Bugs in problematischen Kanälen (etwa bei Kriminellen oder Geheimdiensten von Regimen) landen.

35 Millionen US-Dollar ausgezahlt

Apple kündigte gleichzeitig an, seit dem Jahr 2020 über 35 Millionen US-Dollar an Zahlungen geleistet zu haben – an insgesamt 800 Sicherheitsforscher. „Mehrere“ Personen hätten dabei jeweils 500.000 Dollar erhalten. „Wir sind dankbar für jeden, der seine Forschungsergebnisse übermittelt und eng mit uns kooperiert, um unsere Nutzer zu schützen“, so der Konzern. In der Vergangenheit hatte es allerdings bereits Kritik an den Auszahlungsbedingungen und der Geschwindigkeit der Bug-Bounty-Mannschaft bei Apple gegeben. Offenbar hofft das Unternehmen mit den neuen Maßnahmen, diese zu besänftigen.

Apple hatte für einen Zero-Click-Angriff aus der Ferne, der keine Nutzerinteraktion verlangt und die Geräteübernahme ermöglicht, bislang maximal 1 Million Dollar gezahlt. Die Summe steigt nun auf maximal 2 Millionen. Eine sogenannte One-Click-Chain, bei der ein Klick des Nutzers für einen erfolgreichen Exploit nötig ist, bringt jetzt bis zu 1 Million statt nur 250.000 Dollar. Angriffe über die Luftschnittstelle (Angreifer muss sich in der Nähe befinden) werden ebenfalls auf 1 Million vervierfacht. Erfolgreiche Attacken auf das physische Gerät (im gesperrten Zustand) verdoppeln sich von 250.000 auf 500.000 Dollar. Ein App-Sandbox-Escape (bis zum SPTM-Bypass) bringt 500.000 statt 150.000 Dollar.

Veränderungen bei den Kategorien

Neben den aufgeführten Zahlungen sind wohl auch Boni möglich, die die Gesamtsumme auf bis zu 5 Millionen Dollar anheben. Die genannten Beispiele betreffen allesamt vollständige Exploit-Chains. Einzelne Bugs liefern auch weniger Geld – hierzu dürfte Apple in Zukunft nähere Angaben machen, die Website enthält noch die alten Informationen. Weiterhin gibt es neue Bug-Kategorien, die der Konzern im Bug-Bounty-Programm ergänzt. Dazu WebContent-Code-Executions mit Sandbox-Escape (bis zu 300.000 Dollar), bei Ausführung unsignierten Codes wird daraus eine Million. Schließlich wird der Bereich „WIreless Proximity“ auf aktuelle Apple-Chips wie C1, C1X und N1 erweitert. Um es Sicherheitsforschern zu erleichtern, zu verstehen, wann was gezahlt wird, führt Apple sogenannte Target Flags ein. Diese sind in das Betriebssystem integriert und erlauben es Apple, schneller zu ermitteln, wie weit ein Angriffer gekommen ist. Das soll auch erleichtern, einen Fix auszurollen – und das Verständnis eines Problems erhöhen, bevor selbiger ausentwickelt ist. Target Flags werden in allen Apple-Betriebssystemen von iOS bis visionOS implementiert. Momentan sind allerdings nicht alle Bug-Bounty-Kategorien erfasst, Apple will diese aber erweitern.

Apple kündigte weiterhin an, Bugs, die nicht vom Bug-Bounty-Programm erfasst werden, aber einen Fix verlangen, neben CVE-Eintrag und Credits mit einer Zahlung von 1000 Dollar zu belohnen. Dabei soll es sich um „Low Impact“-Bugs handeln, die keine direkten Auswirkungen auf die Nutzersicherheit haben. Schließlich startet Apple eine neue Runde seines Security-Research-Device-Programs. Das SRDP umfasst nun auch das neue iPhone 17, das Apple mit einem Hardware-Speicherschutz versehen hat. Die Geräte sind gerootet und erlauben diverse Angriffsformen, die sonst nicht möglich sind – und sorgen durch ihre Offenheit für ein tieferes Verständnis. Die aktuelle Bewerbungsrunde läuft bis zum 31. Oktober.

(bsc)