Après avoir annoncé son programme de bug bounty lors de la conférence sur la sécurité de Black Hat en août dernier, Apple a maintenant officiellement ouvert son programme à tous les chercheurs en sécurité.
Avant aujourd'hui, le programme de correction de bogues du fabricant d'iPhone était basé sur une invitation et seuls des chercheurs en sécurité sélectionnés ont pu participer au programme pour trouver des vulnérabilités dans iOS.
Maintenant, Apple a élargi son programme en augmentant sa récompense maximale de bogue de 200 000 $ à 1,5 million de dollars et la société acceptera également des rapports de vulnérabilité pour iPadOS, macOS, tvOS, watchOS et iCloud en plus d'iOS.
Sommaire
Règles et récompenses de bug bounty
Apple a également publié un nouvelle page sur son site Web qui explique les règles du programme de bug bounty ainsi qu'une ventilation des récompenses que les chercheurs peuvent gagner en soumettant des rapports sur les exploits qu'ils ont découverts.
Afin d'être éligibles pour une récompense de prime de bogue, les chercheurs doivent être la première partie à signaler le problème à la sécurité des produits Apple, fournir un rapport clair avec un exploit fonctionnel et ne pas divulguer le problème publiquement avant qu'Apple ne publie l'avis de sécurité pour le rapport.
Pour gagner la plus grande récompense que le programme puisse offrir, ils devront trouver des bogues de sécurité nouveaux, affecter plusieurs plates-formes, travailler sur les derniers matériels et logiciels et avoir un impact sur les composants sensibles. Trouver des vulnérabilités dans les versions bêta rapportera encore plus aux chercheurs, car Apple ajoutera un bonus de 50% en plus du paiement régulier pour tous les bogues signalés dans une version bêta.
En outre, la société paiera un bonus de 50% pour les bogues de régression, qui ont été précédemment corrigés dans des versions plus anciennes de son logiciel qui ont été accidentellement réintroduites dans son code à un stade ultérieur. Les vulnérabilités qui peuvent entraîner des attaques en un seul clic ou en un seul clic gagneront également les premiers prix aux chercheurs, mais ils devront soumettre une chaîne d'exploit complète pour réclamer leur récompense.
Via ZDNet
