कोई भी Apple iPhone भेद्यता की रिपोर्ट नहीं करना चाहता है

जोनाथन Zdzyarski, एक पूर्व जेलब्रेक, और अब एक सुरक्षा विशेषज्ञ द्वारा किए गए सर्वेक्षण का स्क्रीनशॉट। उन्होंने हाल ही में Apple में काम करने के लिए स्विच किया और अपना ट्विटर अकाउंट डिलीट कर दिया।

अगस्त 2016 में, Apple ने पाया कमजोरियों के लिए एक इनाम कार्यक्रम का उद्घाटन किया। इस तरह के कार्यक्रम लंबे समय से लगभग सभी बड़ी आईटी कंपनियों के साथ काम कर रहे हैं। लंबे समय तक माइक्रोसॉफ्ट को पारिश्रमिक के भुगतान का विरोध किया, लेकिन उसने 2013 में माइक्रोसॉफ्ट बाउंटी प्रोग्राम लॉन्च किया। शायद ऐप्पल बड़े पैमाने पर उत्पाद निर्माताओं में आखिरी रहे, जो हैकर्स का भुगतान नहीं करते हैं, इसलिए पारिश्रमिक के भुगतान की शुरुआत के बारे में समाचार समुदाय द्वारा अनुकूल रूप से प्राप्त किया गया था।

एकमात्र समस्या यह है कि पिछले एक साल में हमने एक भी मामले के बारे में नहीं सुना है कि किसी को Apple से पैसा मिला हो। शायद उन्हें इसके बारे में बात करने से मना किया जाता है। या हो सकता है कि वे काले बाजार में बहुत अधिक कीमत पर शोषण बेचना पसंद करते हैं।

Apple ने इतने लंबे समय के लिए भेद्यता भुगतान कार्यक्रम क्यों नहीं शुरू किया है? उनके संस्करण को कंपनी के एक पूर्व कर्मचारी द्वारा व्यक्त किया गया था, जिन्होंने सुरक्षा विभाग में मदरबोर्ड की टिप्पणी में काम किया था: "Apple को चीजों को जारी करना पसंद नहीं है - भेद्यता भुगतान कार्यक्रम सहित - जब तक यह उन्हें पूर्णता तक नहीं लाता है। वे पूर्णतावादी हैं। ” कर्मचारी अपना नाम अस्पष्टता में रखना चाहता था, क्योंकि वह गैर-प्रकटीकरण समझौते (एनडीए) का उल्लंघन करता है।

वास्तव में, यदि आप परियोजना को आदर्श में लाने की कोशिश कर रहे हैं - तो कभी भी इसे जारी नहीं करने का मौका है।

लेकिन एफबीआई के साथ घोटाले के बाद, यह स्पष्ट हो गया कि आगे खींचना असंभव था। याद करें कि तब एफबीआई ने लंबे समय से मांग की थी कि ऐप्पल आतंकवादी के फोन पर एन्क्रिप्शन सिस्टम को क्रैक करता है, लेकिन एप्पल ने अपने बाकी उपयोगकर्ताओं को वायरटैपिंग से बचाने के लिए ऐसा करने से मना कर दिया। अंत में, एफबीआई एजेंटों ने ऐप्पल की मदद के बिना कार्य का सामना किया, एक तृतीय-पक्ष हैकर कंपनी की सेवाओं के लिए भुगतान किया जो इसके निपटान में iOS के लिए 0day शोषण था। खुफिया एजेंसियों ने इस शोषण के लिए बहुत बड़ी राशि का भुगतान किया। संभवतः $ 1.3 मिलियन से अधिक । न्यूयॉर्क टाइम्स ने तब लिखा था कि हैकर्स ने Apple के सिस्टम में बग के बारे में जानकारी नहीं दी क्योंकि उनके पास ऐसा करने के लिए कोई प्रोत्साहन नहीं था। मेरा मतलब है, कोई वित्तीय प्रोत्साहन नहीं था - Apple ने तब कमजोरियों की रिपोर्ट के लिए भुगतान नहीं किया था।

याब्लो कंपनी ने सही निष्कर्ष बनाया और अगस्त में वित्तीय प्रोत्साहन कार्यक्रम शुरू किया। सच है, उसने यहाँ अपने तरीके से काम किया, न कि हर किसी की तरह। हालाँकि कार्यक्रम की घोषणा सार्वजनिक थी, लेकिन अन्यथा Apple ने गुप्त रूप से कार्य करना जारी रखा। कार्यक्रम की शर्तें सार्वजनिक रूप से उपलब्ध नहीं हैं, और इसमें भागीदारी केवल निमंत्रण से संभव है।

हम एप्पल के सुरक्षा विभाग के प्रमुख इवान क्रस्टिक की प्रस्तुति से पुरस्कार के आकार के बारे में जानते हैं। जैसा कि एक स्लाइड पर दिखाया गया था, सिक्योर बूट फर्मवेयर घटकों को हैक करने के लिए $ 200 हजार का अधिकतम इनाम दिया जाता है। सैंडबॉक्स छोड़ने और उपयोगकर्ता के व्यक्तिगत डेटा तक पहुंचने की प्रक्रिया के लिए न्यूनतम $ 25 हजार है।


इवान क्रस्टिक की प्रस्तुति से स्लाइड

ऐसा माना जाता है कि $ 200 हजार भी IOS के लिए 0day के लिए पर्याप्त उच्च राशि नहीं है। ये कारनामे काफी दुर्लभ हैं, इसलिए काले बाजार में इनकी कीमत बहुत अधिक है। उदाहरण के लिए, Krstic की प्रस्तुति के तुरंत बाद, Zerodium ने iOS के लिए कारनामों की खरीद के लिए इसकी कीमत बढ़ा दी । इसलिए, सबसे मूल्यवान चीज के लिए - आईओएस 10 के रिमोट जेलब्रेक, वे पहले से ही $ 500 के बजाय $ 1.5 मिलियन का भुगतान कर रहे हैं।


नई ज़ेरोडियम मूल्य निर्धारण

ठीक है, आप कहां से जेलब्रेक बेचते हैं - $ 200 हजार में एप्पल या 1.5 मिलियन डॉलर में ज़ेरोडियम पर? यह शायद एक लफ्फाजी वाला सवाल है। कुछ लोग शर्मिंदा हैं कि ज़ेरोडियम विभिन्न देशों की विशेष सेवाओं और कानून प्रवर्तन एजेंसियों के साथ सहयोग करता है, और इसके कारनामों का इस्तेमाल राज्य जासूसी और अन्य सुंदर चीजों के लिए नहीं किया जा सकता है।

वैसे, यह इस तथ्य से बहुत दूर है कि अगर एप्पल ने ग्रे मार्केट स्तर पर शोषण की कीमतें बढ़ाई हैं, तो यह समस्या का समाधान करेगा। यहाँ, अर्थव्यवस्था निम्नानुसार काम करती है। यदि Apple कीमतें बढ़ाता है, तो iOS के लिए 0day और भी दुर्लभ हो जाएंगे - और ग्रे मार्केट में कीमतें और भी बढ़ जाएंगी। यानी हम वहीं से लौटेंगे जहां से हमने शुरुआत की थी। हालांकि वास्तव में खराब कीड़े नहीं होंगे। सामान्य तौर पर, यह भेद्यता भुगतान कार्यक्रमों का मुख्य लक्ष्य है।

फिलहाल, 0 कमजोरियों के खरीदारों को तीन समूहों में विभाजित किया जा सकता है:

1. Apple ही।
2. अपराध: माफिया, आपराधिक समूह और इतने पर।
3. राज्य की खुफिया एजेंसियों सहित बड़े खिलाड़ी: एनएसए, मोसाद, जीआरयू, आईएसआईएस (रूस में प्रतिबंधित) और इतने पर।

Apple के पास बैंकों में बहुत बड़े स्टॉक हैं। गुप्त सहायक कंपनियों के माध्यम से, वह $ 200 बिलियन से अधिक का अपतटीय ले आई । इस धन का उपयोग किया जा सकता है। Apple आसानी से कारनामों के लिए इनाम बढ़ा सकता है ताकि अपराध (माफिया, आपराधिक समूह) इसका मुकाबला न कर सकें। लेकिन वह कभी भी खुफिया एजेंसियों के साथ प्रतिस्पर्धा नहीं कर पाएगी, जिनके संसाधन लगभग असीम हैं और केवल पैसे तक सीमित नहीं हैं। इन लोगों को उनके निपटान में हमेशा उनके अनन्य 0 दिन होंगे, कोई फर्क नहीं पड़ता कि आप क्या करते हैं और कमजोरियों का खुलासा करने के लिए आप क्या पुरस्कार देते हैं।