Failles de sécurité : Apple offre jusqu’à un million de dollars

À l'occasion du Black Hat de Las Vegas, un événement consacré à la sécurité, Apple a annoncé l'ouverture de son programme de récompenses pour le signalement de failles de sécurité dans ses logiciels à tout le monde et à tous ses programmes. Cerise sur le gâteau, le montant des récompenses a été revu à la hausse.

La rumeur courrait depuis quelques jours, c'est désormais officiel. Apple ouvre son programme à l'ensemble de ses systèmes d'exploitation et à monsieur et madame (presque) tout le monde. Désormais, tout un chacun peut « s'amuser » à explorer le code et les ressources d'iOS, macOS, watchOS, tvOS et iCloud afin d'identifier des bugs et d'être récompensé.

Dans le jargon, on parle de « bug bounty », une sorte de chasse aux bugs qui est récompensée. Apple avait initialement mis ce programme en place en 2016 et jusqu'à présent, il se limitait à iOS. Une exclusivité que les chercheurs en sécurité triés sur le volet regrettaient fortement.

Désormais, les choses changent. Le programme s'ouvre à tous les chercheurs et tous les systèmes d'exploitation d'Apple. Une manière pour la Pomme d'éviter la communication concernant des vulnérabilités dans ses logiciels avant que la firme n'en ait été informée.

Et pour motiver davantage les chercheurs en sécurité à explorer ses systèmes d'exploitation et à lui communiquer les failles de sécurité et autres bugs qu'ils pourraient débusquer, Apple a revu les récompenses à la hausse.

Jusqu'à présent, les chercheurs pouvaient espérer recevoir entre 25.000$ et 200.000$ en fonction du niveau de la faille découverte. À partir de cette fin d'année, le plafond des récompenses passe à 1 million de dollars. De quoi convaincre les chercheurs à se mettre à la recherche de failles et à éviter qu'ils ne revendent ces informations à autrui.

Enfin, à travers son programme iOS Security Research Device Program, la Pomme a également confirmé qu'elle allait mettre à disposition de certains chercheurs des iPhone spéciaux, avec un niveau de sécurité moins important que sur les smartphones vendus dans le commerce. Une autre façon de motiver les chercheurs à débusquer et rapporter à Apple les éventuels défauts d'iOS.