Команда проекта Google в ноль не применяя программы СРД компании Apple

Изображения: Яблоко

особенность

Защита Мобильного Предприятия

Мобильные устройства продолжают свое шествие к тому, чтобы стать мощной производительности машины. Но они также являются одним из основных рисков безопасности, если им не управлять должным образом. Мы смотрим на последний мудрости и рекомендации по обеспечению безопасности мобильных сотрудников.

Подробнее

Некоторые из самых больших имен в области проведения исследований по уязвимости iPhone уже сегодня объявила о планах пропустить новые исследования защитного устройства от Apple программа (СРД) из-за ограничительных правил компании Apple, связанные с процессом раскрытия уязвимости, которые эффективно намордники исследователей в области безопасности.

Список включает в себя проект Ноль (Гугл элиты ОС команда), утверждается (генеральный директор мобильной безопасности компания Гардиан), ZecOps (мобильной охранной фирмы, которые недавно обнаружили серию атак на iOS), и Axi0mX (в iOS уязвимость исследователь и автор Checkm8 прошивкой использования).

Что такое программа СРД Яблоко

Исследование устройства безопасности программы (ППУ) является уникальной среди производителей смартфонов. В рамках программы СРД, компания Apple пообещала обеспечить предварительной продаже айфонов для исследователей безопасности.

Эти iPhones являются модифицированными, имеют меньше ограничений и позволяют глубже открыть для операционной системы iOS и устройства оборудования, поэтому исследователи в области безопасности может проверить на ошибки, которые они обычно не были бы в состоянии обнаружить на стандартных айфонов, где телефон по умолчанию функции безопасности, предотвращения защиты от видя глубже в трубку.

Apple официально объявила о программе нич в декабре 2019 года, когда компания также расширила свои программы ошибка щедрости включать больше своих операционных систем и платформ.

Однако, в то время как компания продемонстрировала в прошлом году, он не был до сегодня, что Apple, на самом деле, запустили его, опубликовав официальный СРД сайт и по электронной почте некоторые исследователи в области безопасности и ошибка охотников пригласить их применять для процесса проверки необходимо получить отвязанный айфон.

Новые строгие правила

Этот новый веб-сайт также содержит официальные правила программы СРД, которую исследователи в области безопасности не было возможности рассмотреть в мельчайших подробностях.

Но в то время как сообщество безопасности встретили в прошлом году объявление СРД Apple с радостью, считая его первым шагом в правильном направлении, они не очень счастливы с Apple.

По жалобам на социальных медиа, это было одно конкретное предложение, которое втирают большинство исследователей безопасности неправильно:

«Если вы сообщаете об уязвимостях продуктов Apple, компания Apple предоставит дату публикации (обычно дата, на которую Apple выпустила обновление для устранения проблемы). Apple будет работать в духе доброй воли для устранения каждой уязвимости, как только практично. До даты публикации, вы не можете обсуждать эту уязвимость с другим».

Предложение эффективно позволяет Apple, чтобы морда исследователей в области безопасности.

Предложение дает Apple полный контроль над процессом раскрытия уязвимости. Это позволяет производителю iPhone установить дату публикации, когда исследователи безопасности разрешается говорить или публиковать что-либо об уязвимости они обнаружили в iOS и iPhone, в то время как часть программы нич.

Многие исследователи безопасности теперь боятся, что Apple будет злоупотреблять этим пунктом, чтобы откладывать важные патчи и затягивал столь необходимые доставки обновлений безопасности, отложив даты публикации, после чего они позволили говорить об iOS ошибки.

Другие боятся, что Apple будет использовать этот пункт, чтобы заставить замолчать свою работу и не допустить их даже публикации о своей работе.

Проект Zero и другие решают не применять

Первым заметил этот пункт и понять его последствия был Бен лоточников, проект Google нулевые команды.

«Похоже, мы не сможем использовать яблоко ‘безопасности прибора из-за уязвимости раскрытие ограничений, которые, кажется, специально разработаны для исключения проекта Ноль и других исследователей, которые используют 90-дневный политику», — Хоукс сказал на Twitter сегодня.

Хоукс твит получила большое внимание в обществе защиты информации, и другие исследователи в области безопасности только после решения команды. Выступая с ZDNet сестра-сайт Cnet, будет утверждается также сказал, что он не будет вступать в программу, потому что в этом же пункте.

На Twitter, кибер-безопасности фирма ZecOps также объявила, что будет пропускать программа СРД и продолжить взлом айфонов старым добрым способом.

ZecOps не будет использовать «специальный научно-исследовательский аппарат», выпущенный @Яблока из-за ограничений программы и минимальные льготы. Мы будем продолжать сообщать об ошибках в Apple, потому что это правильно делать.

Вместо того, чтобы выпустить специальный научно-исследовательский устройстве, мы поддерживаем Apple, чтобы …

— ZecOps (@ZecOps) 22 Июля 2020 Года

В разговоре с ZDNet, исследователь безопасности Axi0mX сказал, что они думали о том, что не принимала участие.

«Сроки раскрытия информации является стандартной практикой в отрасли. Они необходимы», — сказал ученый.

«Яблоко требует от исследователя ждать неограниченное количество времени, по усмотрению компании Apple, прежде чем они смогут раскрыть какие-либо ошибки, найденные с программой исследования устройства безопасности. Нет крайнего срока. Это ядовитая пилюля», — добавил он.

Алекс Стамос, Facebook бывший начальник информационной безопасности сотрудников, также раскритиковал компании Apple, который был частью более масштабного решения компании предприняло в последние месяцы на кибер-безопасности и уязвимости научного сообщества, — которые также включены в иск против мобильного устройства виртуализации компании, что способствует безопасности исследователи отследить прошивкой баги.

Если Apple выиграет этот бой (который включает в их иске против платформ виртуализации), то мы можем поцеловать впечатляющие исследования общественной безопасности в нам на прощание. Только участники частная головами и иск-доказательства зарубежные супостаты смогут сделать работу безопасности ОС.

— Алекс Стамос (@alexstamos) 22 июля, 2020

Одно дело видеть без имени эксперты по безопасности соединиться с программу безопасности, но это другое дело увидеть самых больших имен в индустрии атакующая.

Программы безопасности Apple не очень хорошо просматривается

Опасения, что Apple может злоупотреблять правилами программы СРД похоронить важная iOS баги и исследования оправданы, для тех, кто последовал за рекламным от Apple. Компания Apple была обвинена в тот же практике раньше.

В серии твитов, опубликованных в апреле, macOS и iOS разработчика Джефф Джонсон напал на компанию за то, что не достаточно серьезно относится к своим обязанностям безопасности.

«Я подумываю о выходе из программы Баунти безопасности Apple», — сказал Джонсон. «Я не вижу никаких доказательств, что Apple серьезно относится к программе. Я слышал только 1 выплата за головами, и ошибка даже не характерные для компьютеров Mac. Кроме того, безопасность продуктов Apple проигнорировала мое последнее письмо к ним в течение недели.

«Apple анонсировала программу в августе, не открывал ее, пока за несколько дней до Рождества, и сейчас до сих пор не выплатили один исследователь безопасности вашего Mac, чтобы мои знания. Это шутка. Я думаю, что цель-просто держать исследователи спокойно об ошибках как можно дольше», — сказал Джонсон.

1 — 5 из 6

Далее

ПРЕД’