Apple reveló hace poco una importante revisión de su programa de recompensas por errores, haciendo que ahora mismo duplique la recompensa máxima hasta los 2 millones de dólares por cad3enas de exploits que puedan igualar la sofisticación de los ataques de spyware mercenario.
Ahora con la bonificación por eludir el modo de bloqueo y las vulnerabilidades encontradas en el software en fase beta, Apple tomó medidas con pagos que podrían llegar incluso a superar los 5 millones de dólares. La empresa firmó que esto parece ser el «mayor pago ofrecido por cualquier programa de recompensas».
Apple otorga 2 millones de dólares de recompensa por encontrar spyware
El programa ahora mismo parece tener un gran impacto en las cadenas de explotación completas en vez de las vulnerabilidades individuales. Esto parece reflejarse en que los ataques en el mundo real suelen encadenar múltiples errores. Las recompensas por los vectores de entrada remota también se han incrementado sustancialmente. A pesar de que las categorías que no se ven comúnmente en los ataques reales también tengan pagos, aunque estos serían mucho más bajos.
Parte de la revisión, hace que Apple ya tenga preparado «target flags» o banderas objetivo. Inspirado en los juegos de capturar la bandera, permite que el investigador aproveche al máximo examinar con éxito la vulnerabilidad. Puede capturar una bandera especifica que demuestra exactamente qué nivel de acceso consiguió. Así mismo permite la ejecución de código o capacidade3s arbitrarias de lectura y escritura.
Apple podría verificar estas mismas banderas. Por lo que los investigadores que envíen informes utilizándolas podrán recibir una notificación de su recompensa rápidamente. Esto, tan sólo luego de que Apple le de cómo valida la band3era capturada. El pago además se emite en un ciclo de pago próximo, es decir que estos investigadores no tendrán que esperar a que Apple lance una corrección de software. Puesto que esto podría llegar a tardar incluso meses. Hasta hace poco que los investigadores a menudo tenían que esperar bastante a que Apple tuviera que corregir correctamente la vulnerabilidad antes de otorgar el pago.
El programa entrará en vigor a partir de noviembre de 2025. Apple además está ampliando las categorías para incluir escapadas de sandbox WebKit con un sólo clic dando incluso un valor de hasta 300 000 dólares y exploits de proximidad inalámbrica por medio de cualquier radio por un valor incluso llegando hasta 1 millón de dólares. Un bypass completo de Gatekeeper en macOS ahora se recompensa con 100 000 dólares.
Podrás hallar más información acerca de los cambios en el sitio web de investigación de seguridad de Apple. La empresa además menciona que ya pagó más de 35 millones de dólares a más de 800 investigadores desde que lanzó el programa público en 2020.
