近日，蘋果一項高達“100萬美元”的安全獎勵計劃受到了來自匿名安全研究人士的公開“吐槽”。該匿名人士在最新的博文中，對蘋果對於此計劃的“敷衍”態度表達不滿，一時間引發熱議。
據悉，2019 年蘋果向公眾開放了其安全獎勵計劃，為那些和蘋果共享 iOS、iPad OS、Mac OS、tv OS 或 Watch OS 關鍵安全漏洞的研究人員提供高達100萬美元的獎金，通過這些漏洞技術來提升自家平臺的安全性。
在此後的時間裡，有報導表明一些安全研究人員對該計劃不滿意。本週五，一位筆名為 “illusionofchaos” 的安全研究人員就發文分享了這種“令人沮喪的經歷”。
該安全研究人員的原文內容如下：
“I want to share my frustrating experience participating in Apple Security Bounty program. I've reported four 0-day vulnerabilities this year between March 10 and May 4, as of now three of them are still present in the latest iOS version (15.0) and one was fixed in 14.7, but Apple decided to cover it up and not list it on the security content page. When I confronted them, they apologized, assured me it happened due to a processing issue and promised to list it on the security content page of the next update. There were three releases since then and they broke their promise each time.”
文章中，他和大家分享了參加蘋果安全獎勵計劃的“沮喪經歷”。早在今年 3 月 10 日-5 月 4 日期間，他就報告了四個零日漏洞（“零日漏洞”(zero-day)又叫零時差攻擊，是指被發現後立即被惡意利用的安全漏洞。）截至目前，他發現最新的 iOS 15.0版本中這三個漏洞仍然存在（其中一個已在 iOS 14.7 中修復），但蘋果卻並沒有在其安全內容頁面上將修復漏洞的情況列出來，直接“悄悄”掩蓋了這一事實。
當他與蘋果方面對質時，蘋果向他表達了歉意，稱會處理這些問題，並承諾會在下次更新的安全內容頁面上將其列出。
但從那以後，蘋果公司更新了三次安全內容頁面，卻一次都沒有遵守承諾。
這位研究人員稱，他和支持者們已經在上週向蘋果發出了最後“警告”，如果再收不到對方的回覆,就要把這些安全漏洞的研究結果公之於眾。但很可惜，蘋果直接忽略這一請求，這才有了開篇他公開發文披露漏洞的“吐槽”文章，一時間引發了業內人士的共鳴。
對於這位安全研究人員的“沮喪經歷”，開發者 Kosta Eleftheriou 也在自己的部落格文章中表達了看法，他強調稱“蘋果並沒有給予他們任何信任。”
據瞭解，該名安全研究人員“illusionofchaos”所披露的其中一個零日漏洞，與遊戲中心相關，或允許從 App Store 安裝的任何應用訪問以下使用者資料：
1、Apple ID 電子郵件及其關聯的全名；
2、Apple ID 身份驗證令牌（允許代表使用者訪問*.Apple.com 上的至少一個端點）；
3、對核心 Duet 資料庫的完整檔案系統讀取訪問（包含來自郵件、SMS、iMessage、第三方訊息應用程式的聯絡人列表，以及所有使用者與這些聯絡人互動的後設資料（包括時間戳和統計資料），以及一些附件（如 URL 和文字）；
4、對 Speed Dial 資料庫和通訊簿資料庫的完整檔案系統讀訪問，包括聯絡人圖片和其他後設資料，如建立和修改日期（據檢查，該內容在 iOS 15 上暫無法訪問，似乎已經於近期悄悄修復）。
此外，他還在部落格文章中詳細介紹了另外兩個仍存在於 iOS 15 中的零日漏洞，以及 iOS 14.7 中被“悄悄”修補的那個漏洞。
目前，這件事件已經引發了不少業內開發者和安全研究人員的評論。其中有人評論稱，一般而言遊戲中心的漏洞是很“粗糙”的，像這樣的事情幾乎不該在安全程式正常執行的情況下“溜走”。但相反，對於蘋果來說，這卻是“司空見慣”的事情，看來，“遊戲規則”已經被徹底破壞了。
對於“illusionofchaos”的這篇“討伐”博文，蘋果方面暫時沒有發表任何評論。該名研究人員表示，如果後續蘋果有回應的話，他們將對文章內容進行更新。
這件事情最終的走向究竟會如何，本站也將持續關注，如果您對此事件有任何看法，也歡迎在評論區留言交流。