號(hào)稱固若金湯的蘋果也推出了“漏洞懸賞計(jì)劃”，程序員們大展身手的機(jī)會(huì)到了
據(jù)科技媒體Verge報(bào)道，蘋果公司在最近召開的Black Hat黑客安全大會(huì)上透露，公司正在籌劃一項(xiàng)新的漏洞獎(jiǎng)勵(lì)方案――只要能找出蘋果產(chǎn)品一切未被發(fā)現(xiàn)的技術(shù)漏洞，任何人都能換取公司提供的現(xiàn)金獎(jiǎng)勵(lì)
這項(xiàng)計(jì)劃將在9月份正式實(shí)施，主要針對(duì)蘋果最新一代的硬件設(shè)備及iOS最新版本。盡管蘋果公司一直設(shè)有舉報(bào)產(chǎn)品安全問題的熱線電話，但這還是其第一次以金錢獎(jiǎng)勵(lì)的方式來(lái)“換取”產(chǎn)品缺陷信息。
為了獲取真正有價(jià)值的產(chǎn)品安全信息，漏洞獎(jiǎng)勵(lì)方案很早就在技術(shù)圈里流行起來(lái)。Uber、菲亞特公司甚至美國(guó)國(guó)防部都在今年推出了類似計(jì)劃。而Google、微軟以及Facebook早在多年前就開始推行這一方案。Google甚至在去年為此支付了超過(guò)200萬(wàn)美元，其中大多是針對(duì)安卓系統(tǒng)中的漏洞。
而在國(guó)內(nèi)，百度、奇虎360等公司也設(shè)立了漏洞懸賞機(jī)制，歡迎黑客們用此方法來(lái)賺錢。國(guó)內(nèi)的網(wǎng)絡(luò)安全專家tombkeeper甚至獲得過(guò)微軟安全挑戰(zhàn)賽最高獎(jiǎng)。
這么說(shuō)來(lái)，蘋果其實(shí)是少數(shù)沒有設(shè)立這類懸賞計(jì)劃的科技公司之一，處理各種bug仍然主要依賴于公司內(nèi)部安全小組及保持合作關(guān)系的科研人員。但今年San Bernardino槍擊案中蘋果與FBI之間的“交戰(zhàn)”歷程（FBI讓蘋果解密罪犯手機(jī)，但被蘋果回絕，后來(lái)卻被第三方公司pojie了）卻讓此前的信息安全政策受到了許多批評(píng)――蘋果自認(rèn)為固若金湯的iPhone都被人pojie了，大概沒有什么能比這更能羞辱蘋果了。
?
不過(guò)，國(guó)內(nèi)的程序員與蘋果重度患者還不能開啟對(duì)蘋果產(chǎn)品的“瘋狂吐槽”模式，因?yàn)檫@項(xiàng)新方案一開始將僅限于受到邀請(qǐng)的人士，例如技術(shù)領(lǐng)域一部分知名專家。但蘋果公司強(qiáng)調(diào)，這項(xiàng)方案以后將會(huì)變得更加開放。如果非項(xiàng)目成員發(fā)現(xiàn)了蘋果產(chǎn)品的一項(xiàng)重大漏洞，他們將會(huì)被邀請(qǐng)參與到項(xiàng)目中來(lái)。
如此來(lái)看，蘋果的這套邀請(qǐng)系統(tǒng)似乎與我們常見的“漏洞懸賞計(jì)劃”有很大的不同，但一直奉行保密文化的蘋果卻認(rèn)為這對(duì)及時(shí)剔除虛假建議是非常必要的策略，也能夠確保受信任的研究員得到公司的充分支持。
目前，該方案的獎(jiǎng)勵(lì)范圍也受限于五個(gè)截然不同的漏洞類別。而最值錢的一類就是“安全啟動(dòng)固件”的脆弱性。這一部分直切蘋果硬件保護(hù)要害，因此賞金也高達(dá)20萬(wàn)美元。一些小的獎(jiǎng)勵(lì)還包括“從Secure Enclave模塊提取數(shù)據(jù)”“獲取任意代碼”“脫離某個(gè)沙箱進(jìn)程”以及“未經(jīng)授權(quán)獲得iCloud賬戶數(shù)據(jù)”。有意思的是，一些漏洞也跟“翻qiang”有很大的關(guān)系。