«Этичный хакинг». Как забрать у Apple миллион долларов и не сесть за взлом?

Apple повышает ставки

Компания Apple существенно увеличила сумму, которую готова предложить за поиск уязвимостей в iPhone и Mac, — с 200 тысяч долларов до одного миллиона. Таким образом, вознаграждение стало самым крупнейшим из тех, которые когда-либо назначали технологические компании, пишет издание Forbes.

Чтобы получить от Apple миллион долларов, хакерам нужно взломать операционную систему iOS. Но сделать это они должны автономно, то есть до того, как пользователь сам откроет какую-либо программу или нажмет на что-то в iPhone.

Кроме этой награды, предусмотрены и другие. Так, хакеру, у которого получится произвести «сетевую атаку, не требующую взаимодействия с пользователем», достанутся в награду 500 тысяч долларов. Взломщики, обнаружившие уязвимости в новом ПО до его выхода, также получат бонусы.

В этот раз Apple изменила свой подход не только касательно суммы награды. Теперь принять участие в поиске уязвимостей в системе может любой желающий, в то время как ранее деньги выплачивались только хакерам, которых компания сама пригласила в программу сама.

Такая форма взлома является легальной и называется «Этичный хакинг». А занимаются им белые хакеры (White Hat).

«Этичный хакинг» или как взломать систему легально

Поскольку в поиске уязвимостей можно не только сорвать джекпот, но и потерять все, включая свободу, важно четко понимать границы «Этичного хакинга», пишет портал Habr.

Этичный хакинг — это законная форма взлома, с помощью которой можно обнаружить уязвимости в чужих системах и обратить на них внимание разработчиков. Но здесь надо быть очень внимательным: участвовать можно только в официальных программах, которые были объявлены компаниями на собственных платформах, а также необходимо четко следовать регламенту конкурса.

Самовольно искать уязвимости в чужих системах нельзя (даже для того, чтобы сообщить о них производителю) — благодарности за это не будет, а вот уголовное наказание последует.

Программы поиска ошибок за вознаграждение Bug Bounty являются самой популярной разновидностью «Этичного хакинга». Им уже больше двадцати лет. Данные сервисы помогают компаниям своевременно обнаружить и устранить баги в своих продукциях, прежде чем о них узнают злоумышленники.

Обычно это происходит так: компания объявляет конкурс на поиск уязвимостей в своих системах, а также озвучивает сумму вознаграждения. Иногда корпорации объявляют о начале закрытой программы. В этом случае организатор сам выбирает потенциальных участников и рассылает им соответствующие приглашения, в которых оговаривает все условия участия.

Вернемся к легальной стороне вопроса. Чтобы законно участвовать в программе и получать за это деньги, а не тюремные сроки, необходимо внимательно читать правила конкурса, который запускает компания.

А получать вознаграждения действительно возможно. И, стоит отметить, что суммы выигрышей, которые платит компания за обнаружение уязвимости в собственных системах или программах доходят иногда до десятков тысяч долларов.

Награда за взлом

Так например, в прошлом году компания Microsoft объявила о запуске программы bug bounty для Windows, а максимальная премия — 250 тысяч долларов. Такую сумму обещали за обнаружение уязвимости в гипервизоре и ядре Microsoft Hyper-V, с помощью которых можно было удаленно исполнять код.

Мировой гигант Google в свое время перечислил экспертам в общей сложности свыше шести миллионов долларов за помощь в обнаружении уязвимостей, а компания Facebook за пять лет существования ее bug bounty заплатила «белым хакерам» в общей сложности пять миллионов долларов.

Здесь стоит отметить, что именно Facebook в начале 2017 года выплатила российскому специалисту по информационной безопасности Андрею Леонову 40 тысяч долларов за одну найденную критическую уязвимость. И на тот момент, эта сумма награды была рекордной.

Тогда россиянин обнаружил в программном обеспечении (ПО) соцсети ошибку, которая позволяла запускать на ее серверах произвольный код.

«Тот факт, что сумма оказалась рекордной — думаю, это не самое главное. То, что она довольно большая — вот этому есть причина. Найденная уязвимость позволяла исполнять произвольный программный код на сервере или серверах, принадлежащих компании Facebook», — рассказал тогда Леонов в беседе с РБК.

А годом ранее, в мае 2016-го, Facebook выплатил 10 тысяч долларов десятилетнему мальчику из Финляндии, за то что он нашел уязвимость в социальной сети Instagram, которая принадлежит Facebook. Маленький компьютерный гений обнаружил баг, позволяющий пользователям удалять комментарии.

После этого 10-летний мальчик стал самым молодым из тех, кто когда-либо получал награды от Facebook, сообщало тогда издание The Guardian.