Apple augmente à 5 millions de dollars ses récompenses pour la découverte de vulnérabilités dans iOS

Apple a décidé d'augmenter considérablement les récompenses qu'elle offre aux chercheurs et aux hackers dits éthiques qui parviennent à détecter des vulnérabilités inconnues dans iOS. Cette décision place Apple à l'avant-garde de la cybersécurité en termes d'argent et reflète également le contexte actuel des enjeux de sécurité : l'industrie des logiciels espions mercenaires est en plein essor et les menaces numériques sont de plus en plus dangereuses et abondantes. Apple ne le fait pas parce qu'il en a besoin, mais parce qu'il est important que ces découvertes de vulnérabilités soient plus tentantes de les confier à Apple qu'à une entreprise qui produit des logiciels espions ou des logiciels malveillants.

Qu'est-ce que le programme Bug Bounty d'Apple ?

Apple a lancé son programme « bug bounty » il y a près de dix ans, suivant une stratégie axée sur l'attraction des talents et la récompense des efforts de ceux qui contribuent à renforcer la sécurité de ses appareils et logiciels. À ses débuts, ce programme était réservé à un cercle restreint de chercheurs, mais depuis 2020 il est ouvert à tout expert capable de découvrir et de signaler des failles de sécurité.

Avant la mise à jour annoncée ce mois-ci, la récompense potentielle maximale était de 200 000 dollars américains en 2016 (environ 190 000 euros) et est passée à 1 000 000 de dollars en 2019 (environ 950 000 euros). Ces chiffres constituaient déjà des références au sein de l'industrie, mais les failles les plus graves, comme celles qui permettent de développer des chaînes d'attaque complexes ou d'exploiter des dispositifs de manière invisible, méritent une révision à la hausse.

Le nouveau record de récompenses

Cette augmentation des récompenses a été révélée par Ivan Krstić, vice-président de l'ingénierie et de l'architecture de sécurité d'Apple lors de la conférence Hexacon à Paris. La récompense maximale s'élève à deux millions de dollars (environ 1 900 000 euros) pour les cas particulièrement difficiles à trouver ou particulièrement graves : des chaînes d'exploits capables de prendre le contrôle complet du système au niveau racine, le super-utilisateur pouvant tout gérer.

Mais cette augmentation a plus de dimensions. Apple envisage désormais des bonus supplémentaires. Par exemple, si la vulnérabilité parvient à surmonter le nouveau « Lockdown Mode », une fonctionnalité conçue pour protéger les utilisateurs à haut risque tels que les journalistes, les militants et les hommes politiques, ou si la vulnérabilité est découverte pendant le cycle de développement du logiciel bêta, Apple augmente le prix total à cinq millions de dollars, soit environ 4 750 000 euros au taux de change actuel.

Apple a déjà distribué plus de 35 millions de dollars de récompenses

On estime qu’Apple possède plus de 2,35 milliards d’appareils actifs dans le monde. Depuis l’ouverture publique de ce programme de primes en 2020, il est incroyable que l’entreprise ait distribué plus de 35 millions de dollars de récompenses à plus de 800 chercheurs, ou peut-être mieux dire à des pirates informatiques en col blanc. Bien que les prix d'un million de dollars soient rares, plusieurs récompenses d'un demi-million de dollars ont été décernées ces dernières années. L'iPhone est une cible prioritaire pour de nombreux cybercriminels. Il y a beaucoup d’argent en jeu.

De nouvelles catégories pour soutenir les études de sécurité

Apple étend également la portée de son programme de primes de vulnérabilité en incluant de nouvelles catégories qui n'existaient pas auparavant. Par exemple, certains types d'exploits liés à WebKit seront récompensés, c'est-à-dire le moteur Web Safari, qui est utilisé dans le navigateur ainsi que dans toute autre application affichant des vues Web, c'est-à-dire du contenu Web à l'intérieur. Ces attaques profitent de la proximité sans fil avec des radios de tout type, ce qui est de plus en plus courant car nous utilisons de plus en plus d'appareils communiquant sans fil. De plus, Apple présente désormais le concept de « Target Flags », une adaptation du jeu de capture du drapeau des événements de piratage, afin que les chercheurs puissent rapidement démontrer les capacités des vulnérabilités qu'ils ont trouvées.

Apple a également récemment annoncé l'arrivée de la fonctionnalité Memory Integrity Enforcement sur toute la gamme iPhone 17 et le nouvel Air. Cette amélioration tente d'atténuer les vulnérabilités les plus historiquement exploitées dans iOS. Apple a complété cet effort en faisant don d'un millier d'iPhone à des organisations qui protègent les groupes exposés aux attaques numériques.

En conclusion, l'augmentation des récompenses dans le programme de primes d'Apple marque une nouvelle norme dans l'industrie et pourrait motiver davantage de pirates informatiques à collaborer avec eux grâce à cette forte incitation monétaire. Pour les utilisateurs, ces avancées signifieront un niveau de sécurité plus élevé et moins de risques d'avoir des bugs sur l'iPhone qui peuvent être exploités pour accéder à nos données à notre insu. Vous avez plus de détails dans Wired.