Tidak ada yang ingin melaporkan kerentanan Apple iPhone

Cuplikan layar survei yang dilakukan oleh Jonathan Zdzyarski, mantan jailbreak, dan sekarang spesialis keamanan. Dia baru saja beralih bekerja di Apple dan menghapus akun Twitter-nya.

Pada Agustus 2016, Apple meresmikan program hadiah untuk kerentanan yang ditemukan . Program semacam itu telah lama beroperasi dengan hampir semua perusahaan IT besar. Untuk waktu yang lama menolak pembayaran remunerasi ke Microsoft, tetapi dia menyerah pada 2013, meluncurkan Program Microsoft Bounty . Mungkin Apple tetap menjadi yang terakhir di antara produsen produk massal yang tidak membayar peretas, sehingga berita tentang awal pembayaran upah diterima dengan baik oleh masyarakat.

Satu-satunya masalah adalah bahwa selama setahun terakhir kita belum pernah mendengar satu kasus pun bahwa seseorang menerima uang dari Apple. Mungkin mereka hanya dilarang membicarakannya. Atau mungkin mereka lebih suka menjual eksploitasi di pasar gelap dengan harga yang jauh lebih tinggi.

Mengapa Apple berlarut-larut dan tidak memperkenalkan program pembayaran kerentanan begitu lama? Versinya diungkapkan oleh seorang mantan karyawan perusahaan, yang bekerja di departemen keamanan, dalam komentar oleh Motherboard : "Apple tidak suka merilis barang-barang - termasuk program pembayaran kerentanan - sampai membawa mereka dengan sempurna. Mereka perfeksionis. " Karyawan itu ingin menjaga namanya tetap tidak jelas, karena ia melanggar perjanjian non-pengungkapan (NDA).

Bahkan, jika Anda mencoba untuk membawa proyek ke ideal - ada peluang untuk tidak pernah melepaskannya.

Tetapi setelah skandal dengan FBI, menjadi jelas bahwa tidak mungkin untuk melangkah lebih jauh. Ingatlah bahwa kemudian FBI untuk waktu yang lama menuntut agar Apple memecahkan sistem enkripsi pada telepon teroris, tetapi Apple menolak untuk melakukan ini untuk melindungi sisa penggunanya dari penyadapan. Pada akhirnya, agen-agen FBI mengatasi tugas itu tanpa bantuan Apple, membayar jasa perusahaan peretas pihak ketiga yang dapat memanfaatkan 0day exploit untuk iOS. Badan intelijen membayar jumlah yang sangat besar untuk eksploitasi ini. Agaknya lebih dari $ 1,3 juta . The New York Times kemudian menulis bahwa peretas tidak melaporkan informasi tentang bug dalam sistem ke Apple karena mereka tidak memiliki insentif untuk melakukannya. Maksud saya, tidak ada insentif finansial - Apple kemudian tidak membayar untuk laporan kerentanan.

Perusahaan Yabloko membuat kesimpulan yang tepat dan meluncurkan program insentif keuangan pada bulan Agustus. Benar, dia di sini bertindak dengan caranya sendiri, tidak seperti orang lain. Meskipun pengumuman program itu bersifat publik, namun Apple tetap bertindak diam-diam. Persyaratan program tidak tersedia untuk umum, dan partisipasi di dalamnya hanya mungkin atas undangan.

Kita tahu tentang besarnya hadiah dari presentasi kepala departemen keamanan Apple, Ivan Krstic. Seperti yang ditunjukkan pada salah satu slide, hadiah maksimum $ 200 ribu dibayarkan untuk meretas komponen firmware Boot Aman. Minimal adalah $ 25 ribu untuk proses meninggalkan kotak pasir dan akses ke data pribadi pengguna.


Slide dari presentasi Ivan Krstic

Dipercaya bahwa bahkan $ 200 ribu tidak cukup untuk 0day untuk iOS. Eksploitasi ini sangat langka, sehingga di pasar gelap biayanya jauh lebih tinggi. Misalnya, tak lama setelah presentasi Krstic, Zerodium menaikkan harganya untuk pembelian eksploit untuk iOS. Jadi, untuk hal yang paling berharga - jailbreak jarak jauh iOS 10, mereka sudah membayar $ 1,5 juta daripada $ 500 ribu sebelumnya.


Harga Zerodium baru

Nah, di mana Anda menjual jailbreak - di Apple seharga $ 200 ribu atau di Zerodium seharga $ 1,5 juta? Ini mungkin pertanyaan retoris. Hanya sedikit orang yang merasa malu bahwa Zerodium bekerja sama dengan layanan khusus dan lembaga penegak hukum dari berbagai negara, dan eksploitasinya dapat digunakan untuk spionase negara dan hal-hal lain yang tidak terlalu indah.

Omong-omong, itu jauh dari fakta bahwa jika Apple menaikkan harga eksploitasi ke tingkat pasar yang kelabu, maka ini akan menyelesaikan masalah. Di sini, ekonomi berfungsi sebagai berikut. Jika Apple menaikkan harga, maka 0day untuk iOS akan menjadi semakin langka - dan harga di pasar abu-abu akan semakin meningkat. Artinya, kita akan kembali ke tempat kita mulai. Meskipun de facto bug tertutup benar-benar akan lebih sedikit. Secara umum, ini adalah tujuan utama dari program pembayaran kerentanan.

Saat ini, pembeli kerentanan 0day dapat dibagi menjadi tiga kelompok:

1. Apple itu sendiri.
2. Kejahatan: mafia, kelompok kriminal dan sebagainya.
3. Pemain besar, termasuk agen intelijen negara: NSA, Mossad, GRU, ISIS (dilarang di Rusia) dan sebagainya.

Apple memiliki stok uang yang sangat besar di bank. Melalui anak perusahaan rahasia, dia membawa lebih dari $ 200 miliar lepas pantai . Uang ini bisa digunakan. Apple dapat dengan mudah meningkatkan hadiah untuk eksploitasi sehingga kejahatan (mafia, kelompok kriminal) tidak dapat bersaing dengannya. Tetapi dia tidak akan pernah bisa bersaing dengan agen intelijen, yang sumber dayanya hampir tidak terbatas dan tidak terbatas hanya pada uang. Orang-orang ini akan selalu memiliki 0 hari eksklusif mereka untuk mereka, tidak peduli apa yang Anda lakukan dan imbalan apa yang Anda tetapkan untuk mengungkapkan kerentanan.