Apple pagará lo mismo o más que Zerodium si encuentras vulnerabilidades
Esta cifra supera con creces la que paga Zerodium, que ofrece hasta un millón de dólares si consigues encontrar una vulnerabilidad que te permita hacer lo que quieras en el móvil sin que el usuario tenga que ejecutar nada. Hasta seis vulnerabilidades de ese tipo fueron las que la Google anunció la semana pasada que había encontrado en iOS, comunicándoselo a la empresa para que las parcheara.
iOS es tan cerrado que los investigadores de seguridad tienen incluso problemas para buscar vulnerabilidades accediendo a su interior. Por ello, Apple ha decidido ser más laxa y distribuir a desarrolladores un iPhone más abierto que permita acceder a más partes del sistema y sea más «fácil» de hackear al no tener determinadas capas de seguridad. Estos móviles tendrán una especie de equivalente al root en Android, lo cual permitirá a los hackers ejecutar comandos con todos los privilegios, además de poder hacer debug para revisar el código en busca de fallos.
Además, Apple ha aumentado las recompensas, donde pagarán hasta 1,5 millones de dólares si un investigador encuentra un ataque grave contra iOS y se lo comunica a Apple de manera discreta. De esa forma, están desincentivando el vendérselo a Zerodium, quien a su vez se lo vendería a otros hackers, incluyendo gobiernos. Con esto también disuaden a los hackers de venderlo en la Dark Web, ya que Apple les dará el mismo dinero y probablemente también reconocimiento.
También pagará a quienes encuentren vulnerabilidades en los otros sistemas operativos
Apple también ha abierto el programa de recompensas a todos los desarrolladores en lugar del sistema que había hasta ahora de invitaciones, además de no estar limitado sólo a iOS, sino que incluso llega ahora a tvOS y watchOS. Las recompensas que recibirán por los ataques más básico ha aumentado también, donde una vulnerabilidad que permita desbloquear un iPhone si se tiene acceso físico a él se pagará a 100.000 dólares. Un ataque remoto que pueda ganar control total sin interacción del usuario y tenga persistencia se pagará con 1 millón de dólares.
Esto será lo máximo que se pague, pero Apple también pagará un bonus del 50% a quienes encuentren vulnerabilidades en la versión beta de iOS, lo cual, combinado con la vulnerabilidad de 1 millón de dólares, puede hacer ganar hasta 1,5 millones de dólares. Con ello, buscan potenciar que se encuentren los fallos antes de que las actualizaciones lleguen a los dispositivos de los usuarios.
En el pasado, Apple se ha negado a pagar a algunos usuarios que encontraban fallos en macOS, lo que hizo que algunos que los descubrían decidieran publicarlos directamente, como hizo el descubridor del ataque Keysteal.
