Apple höjer belöningen för zero-click-sårbarheter till 2 miljoner dollar

Apple har uppdaterat sitt säkerhetsprogram och erbjuder nu upp till 2 000 000 dollar för zero-click-exploater som möjliggör fjärrkörning av kod (RCE). Företaget finansierar högre belöningar för de mest farliga typerna av sårbarheter. Syftet är att styra framstående säkerhetsforskare mot ansvarsfull rapportering i stället för försäljning på grå marknader.

Högre grundbelöningar och kombinerade bonusar

Apple har höjt grundbelöningarna för flera typer av exploater. Enklicks-RCE och vissa attacker baserade på trådlös närhet listas nu till 1 000 000 dollar. Företaget har även ökat belöningarna för kompromettering av iCloud och kedjor för privilegieeskalering.
När forskare uppfyller flera kriterier kan Apple kombinera bonusar, vilket gör att en enskild inlämning kan ge över 5 000 000 dollar i belöning.

Varför Apple fokuserar på zero-click-RCE:er

Zero-click-exploater låter angripare köra kod utan att användaren gör någonting. De kan kompromettera enheter helt tyst. På grund av den risken prioriterar Apple dessa sårbarheter. Den högre belöningen skapar starkare incitament för forskare att rapportera upptäckter snarare än att utnyttja dem.

Nya skyddsprogram och stöd för utsatta användare

Apple kombinerar den ökade belöningen med nya försvarsinsatser. Företaget planerar att donera säkra enheter till civilsamhällesorganisationer som riskerar att utsättas för avancerad spionprogramvara.
Apple fortsätter också att utveckla funktioner som Lockdown Mode och förbättrat minnesskydd. Dessa verktyg höjer ribban för angripare och minskar risken för dolda intrång.

Tillgång till forskningsenheter och nya tidsramar

Apple har öppnat ansökningsperioden för sitt Security Research Device-program. Genom detta kan granskade forskare ansöka om specialanpassad hårdvara för att undersöka komplexa buggar. Deltagare får kontrollerad åtkomst till diagnostiska funktioner som hjälper till att identifiera djupt liggande problem.
Apple hoppas att detta kontrollerade tillvägagångssätt ska leda till snabbare upptäckter av allvarliga sårbarheter.

Vad bug bounty-programmet innebär för försvarare och forskare

Säkerhetsteam kan nu förvänta sig fler koordinerade rapporter från ledande forskare. Organisationer som bygger försvarslösningar kan använda dessa rapporter för att snabbare utveckla patchar.
Forskare gynnas av tydligare regler och större ekonomiska incitament. De som tidigare sålde zero-click-exploater på den grå marknaden kan nu se rapportering som ett mer lönsamt alternativ.

Slutsats

Den ökade Apple zero-click vulnerabilities bounty markerar en tydlig förändring. Apple värderar nu exploitforskning på en betydligt högre nivå. Kombinationen av större belöningar, förstärkta försvarsprogram och bättre forskningsåtkomst kan minska antalet avancerade exploater som förblir oupptäckta.
För cybersäkerhetsförsvarare innebär förändringen en bättre chans att täppa till kritiska luckor innan angripare utnyttjar dem.