À la faveur de sa conférence sur la sécurité tenue durant le Black Hat de Las Vegas, Apple a annoncé l'extension de son programme de chasse aux bugs (« bug bounty ») à macOS, watchOS, tvOS et iCloud, comme la rumeur l'avait prédit il y a quelques jours.
Ce programme était attendu de longue date, en fait depuis sa mise en place qui remonte à l'été 2016… mais qui ne concernait qu'iOS jusqu'à présent. Et uniquement pour une poignée de spécialistes en sécurité triés sur le volet…
Le nouveau programme sera ouvert d'ici la fin de l'année à tous les chercheurs, ce qui limitera certainement la communication de vulnérabilités « zero day » sur macOS (les détails sur ces failles sont dévoilées sans que le constructeur ait été au préalable mis au courant). Actuellement, les chercheurs ne sont guère motivés pour prévenir Apple d'une découverte en l'absence d'un bug bounty pour la plateforme. Cela devrait changer avec ce nouveau programme, ce dont on ne peut que se féliciter.
Autre motif de satisfaction : Apple a sérieusement revu à la hausse le montant des primes. Le maximum était de 200 000 $ en fonction de la nature de la faille ; le plafond passe à 1 million de dollars. De quoi concurrencer un peu mieux les offres d'éditeurs qui cherchent à exploiter les vulnérabilités (pour espionner ou siphonner discrètement des données).
Dans le cadre du nouveau iOS Security Research Device Program, Apple va également proposer aux chercheurs des iPhone n'intégrant pas toutes les fonctions de sécurité des appareils pour le grand public. Ces chasseurs de bugs auront donc un accès facile aux couches les plus basses du système.
Cela leur permettra de dégotter des vulnérabilités quasiment impossibles à détecter aujourd'hui, mais qui pourraient se montrer particulièrement dangereuses. Ce programme, pour lequel il faudra montrer patte blanche, sera mis en place dans le courant de l'année prochaine.
