谷歌让苹果修复了iPhone中的10个安全漏洞

拉斯维加斯 - 苹果公司(AAPL)以其移动设备的安全性而自豪，但周三在黑帽安全会议上的一次演讲显示，iPhone iOS操作系统中的关键漏洞使其无法接受远程攻击。由目标用户点按或滑动。

一个“零日”漏洞，这是一个公司根本不存在的缺陷，需要目标零互动，这是信息安全界的噩梦。苹果只知道这个问题 - 据报道已被阿联酋等国家行为者利用 -因为其最大的竞争对手之一：谷歌(GOOG，GOOGL)。

一天后，在Black Hat，Apple宣布了一项针对漏洞赏金计划的重大扩展，通过该计划向披露未修复漏洞的研究人员支付奖励。美国最封闭的科技巨头之一正在向外界提供安全帮助，这是一项重大进步，也是苹果客户应该欢迎的事情。

iMessage问题

在周三的演讲中，谷歌在2014年推出的Project Zero漏洞搜寻工作的研究员Natalie Silvanovich解释了她和同事们如何确认有关严重iOS漏洞的持续传言。

随后的工作中发现了10个缺陷，其中一些允许远程访问而无需用户进行交互，在诸如可视语音邮件和iMessage之类的消息传递组件中。

“这些基本上都是错误，任何人都可以从任何地方使用它来攻击任何人，”Silvanovich说。

她在演示期间演示了两个，一个允许攻击者从目标iPhone复制图像，另一个导致攻击者在受攻击的iPhone上打开计算器应用程序。

计算器的显示器显示了1,337-黑客“精英”的简写 - 观众为赞赏而鼓掌。

谈话结束后，Project Zero的博客添加了Silvanovich的详细报告，打破了这些发现。好消息：苹果公司已经修复了所有10个，并且在应该已经到达iPhone的iOS 12.4更新的安全发行说明中给予了Project Zero。坏处：许多这些错误都源于iOS功能，这些功能并没有使客户受益。

“大多数漏洞都发生在iMessage中，因为其广泛且难以枚举的攻击面，”帖子读到。“这种攻击面大部分都不是正常使用的一部分，对用户没有任何好处。”

用更少的话来说：复杂性会导致死亡。

Bug赏金2.0

苹果安全专家周四的一次谈话没有解决席尔瓦诺维奇的调查结果，但确实表明苹果公司大大扩展了它的漏洞赏金计划。安全工程负责人伊万·克斯蒂奇(IvanKrstić)在一个礼堂里说：“我们想进一步考虑这个问题。”

与苹果三年前在此次活动中宣布的漏洞报告奖励不同，今年秋季推出的计划涵盖了Apple的所有操作系统，并向所有安全研究人员开放，而不仅仅是苹果专家的一部分。它对运输软件中记录的漏洞的支出将高达100万美元。

这个计划背后的想法，如谷歌和Facebook(FB)等公司的漏洞赏金系统，是为了奖励研究人员报告“黑客”而不是将其卖给攻击者。

苹果公司扩大后的政权将支付Mac漏洞以及iPhone和iPad的漏洞，并将覆盖Apple TV的tvOS和Apple Watch的watchOS。

这百万美元的奖励将需要远程攻击的文档，该攻击需要零用户交互并获得持久的系统范围控制。较不危险的漏洞将获得更少的收益;例如，锁屏旁路的最高支付额为100,000美元。

Krstić表示，苹果公司将为未发布软件的测试版本中发现的漏洞提供50%以上的收益。“获得赏金的首要原因是在它碰到客户之前找到漏洞，”他说。

Krstić还宣布，Apple将从明年开始为安全研究人员提供“研究平台”iPhone，以便对Apple的软件和硬件进行更仔细的检查。

Bug赏金不是魔法尘埃

电子前沿基金会副执行董事兼总法律顾问库尔特·奥普萨尔(Kurt Opsahl)在Krstić的谈话中表示，苹果公司早先采取了谨慎的计划，“已经迟到了”，并对此进行了扩展。

他补充说，苹果公司的奖励现在可以解决臭虫市场上最严重的漏洞问题。

然而，另一位安全专家担心这种慷慨诱惑可能会产生意外后果。

“首先，Luta Security的首席执行官凯蒂·穆苏里(Katie Moussouris)通过电子邮件发送了最初为微软(MSFT)创建的第一个漏洞披露计划。“另一方面，这可能足以激励内部人士与外界勾结。”

但是，在根本上没有结束的努力中，更多关注这个问题只会有所帮助。正如EFF的Opsahl所说，“我相信Apple拥有一支非常优秀的安全团队，但任何复杂的系统都难以保障。”