iOS 9のリモート脱獄報奨金プログラム、1チームが100万ドルを獲得 40
報奨金を出しても割に合うということか 部門より
Zerodiumが実施していたiOS 9の脆弱性発見に対する報奨金プログラムで、1チームが100万ドルを受賞したそうだ（Zerodiumのツイート、Motherboard、BetaNews、Guardian）。
未公表の脆弱性を用い、WebページまたはSMS/MMSを通じて任意のアプリを最高の特権レベルでインストール（つまりリモートからの脱獄）を可能にしたチームに報奨金を出すというもので、最大3チームに各100万ドル、計300万ドルの報奨金が用意されていた。
報奨金プログラムには2チームが個別に挑戦していたが、リモートからの脱獄には複数の攻撃方法を組み合わせる必要があり、両チームとも同じハードルを越えられないでいたという。ところが、東部夏時間10月31日午後6時に設定されていた締め切りの数時間前になって1チームが完全に動作する攻撃方法を送ってきたそうだ。
Zerodiumの創業者 Chaouki Bekrar氏によると、チームはChromeとiOS 9（iOS 9.1および9.2b）のいくつもの脆弱性を発見し、ほぼすべての緩和策を破ってブラウザベースでリモートからの完全な脱獄を達成したとのこと。iOS 9については中国のホワイトハットハッキングチームが脱獄方法を発見しているが、こちらはリモートからの脱獄には対応していない。
Zerodiumでは脆弱性や脱獄手順を当面公表せず、ゼロデイ攻撃に対する高度な保護を必要とする防衛、テクノロジー、金融関連企業や、特別なサイバーセキュリティー能力を必要とする政府組織などに販売する。Appleに対する脆弱性開示も行わないが、Bekrar氏は数週間か数か月のうちにAppleが脆弱性を修正するとみており、Appleにとってもよい宣伝になったと考えているようだ。
100万ドル(1億2000万円) (スコア:2)
1億2000万つったらテンション上がるけど、貰えないリスクの方が高い報酬として妥当なもんなんだろうか？
Appleから見たらいろいろ込で安い出費だけど、やってる方は名誉欲とか達成感が大きいかな？