Corellium lance un programme de chasse aux failles de sécurité ouvert à tous
Maintenant qu'Apple a lâché la grappe à Corellium en abandonnant sa plainte, l'entreprise spécialisée dans la virtualisation d'iOS dans le nuage lance un programme de chasse aux failles ouvert à tous. L'Open Security Initiative propose aux amateurs de soumettre leurs projets de recherche pour valider les fonctions de sécurité et de respect de la confidentialité de tous les fournisseurs de logiciels mobiles : système d'exploitation ou applications tierces.
iOS et Android sont donc compris, mais aussi n'importe quelle app. Il est possible de soumettre ces projets jusqu'au 15 octobre, les gagnants seront connus le 31 du même mois. Corellium promet jusqu'à trois récompenses de 5 000 $ pour autant de projets acceptés, ainsi qu'un accès gratuit à sa plateforme pendant un an.
Corellium commercialise des machines virtuelles sous iOS « jailbreakées », générées par une technologie d'hyperviseur maison. L'analyse du code du système d'exploitation est donc beaucoup plus simple pour les chercheurs. C'est l'équivalent, mais dans le nuage, des iPhone Security Research Device (SRD) qu'Apple fournit depuis la fin de l'année dernière à des spécialistes de la sécurité triés sur le volet.
Des chercheurs en sécurité pas fans de l'iPhone SRD
Ironiquement, ou peut-être pas, l'entreprise explique avoir été inspirée par le discours de Craig Federighi de la fin de la semaine dernière. En substance, le vice-président à l'ingénierie logicielle expliquait que ces fameux chercheurs avaient la possibilité de fouiller dans le code d'iOS pour vérifier si Apple respectait bien ses engagements.
Une déclaration un peu étonnante, sachant qu'aucun programme visant à soulever le capot de la boîte noire d'iOS n'avait été dévoilé. À moins que Federighi évoquait le propre bug bounty d'Apple, celui-là même qui renâcle à payer les découvreurs de vulnérabilités.
Craig Federighi reconnait qu'Apple a très mal communiqué sur les mesures de lutte contre la pédopornographie
5000$… pas sûr que ce soit de nature à intéresser les « chercheurs »
@Seb42
+1 mais bon, comme vous le dites, certain se disent chercheurs, ils sont plutot mercenaires...
@raoolito
Car toi quand tu cas bosser, tu ne demandes pas de salaires..??
C’est quoi ces préjugés à deux balles?! Visiblement tu n’as aucune idée du temps et des investissements pour arriver à ‘percer’. Ce n’est pas une science infuse et si pas de trouvailles, pas de money. Oui, c’est quoi ces gens qui sont pas tous millionaires et qui ne bossent pas à l’oeil!!
Pour en revenir à l’article, 5000$ c’est ridicule. Ils devraient mettre une grille en fonction des exploits trouvés.
A moins d’être philantrope comme le champion plus haut, je pense que les bons ´chercheurs’ vont aller voir ailleurs.
Ca reste toujours plus que Apple qui à des oursins dans les poches… A mon avis les meilleurs clients sont le NSO Group.
@huexley
Voilà : vendre l’exploit à NSO pour le fric, puis une semaine plus tard le vendre à Corellium pour l’argent de poche, puis une semaine plus tard le vendre (ou plutôt l’offrir) à Apple pour se refaire une conscience.
@0MiguelAnge0
un million c'est suffisant ? et quid de ces "chercheurs" qui vendront donc a des malfrats parce que apple ne paye pas ou pas assez?
j'ai besoin de sous, vous m'en voudrez pas vendre vos coordonnées et vos heures de boulot à des voleurs hein? ils payent plus que vous pour l'info
ce qu'il ne faut pas lire des fois...
Attention, ces 5000$ et la mise à disposition de la plateforme de Correlium sont en supplément de ce qui peut être obtenu auprès d'Apple, Google ou autre développeur lorsque la faille leur est rapportée.
En effet Corellium impose que chaque faille découverte dans ces 3 projets qu'ils financeront, soit rapportée au vendeur concerné en suivant le processus de bug bounty de chacun de ces vendeurs (le vendeur étant le développeur de l'OS ou de l'app ayant fait l'objet de la découverte de faille):
Any vulnerabilities discovered in the course of your research must be reported to the vendor. We encourage you to follow the disclosure guidelines of the relevant vendor.
@r e m y
bien vu, je continue a me demander ce qu'il y avait dans l'accord correlium apple
je doute que simplement un arret des poursuites soit dedans
@Seb42
"5000$… pas sûr que ce soit de nature à intéresser les « chercheurs »"
Les 5000$ ce n’est pas en récompense d’une découverte mais en prime pour la sélection d’un projet d’études qui s’il est accepté ouvrira en plus gracieusement pour un an l’accès à la plateforme.
Rien n’empêche en suite de monnayer l’éventuelle découverte issue du programme de recherche par les canaux habituels qu’ils soient legal ou non 🤑(En théorie il y a une obligation de report aux canaux officiels, mais cela le semble très théorique)
« Lâcher la grappe », « renâcler », du Bazoge dans le texte.
Le seul rédacteur de l’univers Apple qui ne supporte pas Apple 😁
@borongaj
Pour ton réabonnement au Club mets la démission de MB dans la balance, et dis-nous qui gagne 😎