Apple pagará por primera vez a los que descubran fallos de seguridad

Como parte de una presentación para la conferencia Black Hat, Apple ha anunciado un programa de recompensas por el que abonará hasta 200.000 dólares a investigadores que descubran vulnerabilidades en sus productos o servicios.

Es la primera vez que Apple implementa este tipo de programas que han sido de mucha utilidad para otras tecnológicas como Google, Microsoft o Facebook que los tienen activos hace tiempo.

Por ahora, las recompensas se ofrecerán para una pequeña gama de productos y servicios y para hackers e investigadores invitados, aunque ambos pretenden ampliarse en el futuro. La lista completa es la siguiente:

• Componentes del firmware de arranque seguro: Hasta 200.000 dólares
• Extracción de material confidencial protegido por el enclave seguro: Hasta 100.000 dólares
• Ejecución de código arbitrario con privilegios de kernel: Hasta 50.000 dólares
• Acceso a datos del usuario protegidos por sandbox: Hasta 25.000 dólares
• Acceso no autorizado a datos de cuentas iCloud en los servidores de Apple: Hasta 50.000 dólares

Los investigadores que quieran cobrar las recompensas tendrán que presentar un informe a Apple con una prueba de concepto que explote el fallo en la última versión estable de iOS. Si los errores están relacionados con el hardware (como en los bugs del Secure Enclave) la prueba de concepto debe también en las últimas versiones del iPhone o iPad. 

También se pide a los investigadores que no revelen los errores antes de que Apple los solucione. La compañía dice que serían corregidos en el menos tiempo posible pero sin un compromiso de tiempo. Una vez publicada la revisión, a los investigadores que lo deseen se les dará el crédito correspondiente en las notas de la versión de la actualización de seguridad correspondiente.

La cantidad de dinero para cada vulnerabilidad será asignada por los ingenieros de Apple. Si el investigador decide donar a obras de caridad la recompensa, Apple doblará el premio y entregará la misma cantidad.

Sea bienvenido este programa porque hasta ahora Apple había rodeado todo los aspectos de seguridad bajo un código de silencio. Hace años que la infección masiva por el troyano Flashback terminó por derribar el mito de la supuesta invulnerabilidad de la plataforma Mac.

Apple no puede mantener ese mito y una falsa sensación de seguridad a costa de la seguridad de sus usuarios. Cualquier plataforma es vulnerable y la adopción de medidas pro-activas por Apple son imprescindibles y positivas.