قررت شركة Apple رفع مستوى برنامج مكافأة الثغرات الأمنية الخاص بها، وهي تفعل ذلك بأسلوب أنيق: والآن يظهر تقرير يوضح سلسلة استغلال البرمجيات يمكن أن يصل راتب من يكتشف ثغرات أمنية خطيرة إلى مليوني دولار أمريكي، مع إمكانية زيادته مع المكافآت ليتجاوز 5 ملايين دولار أمريكي. وتحرص الشركة على أن يبقى الكفاء الذي يكتشف هذه الثغرات على المسار الصحيح، ولا ينتهي به المطاف في الأسواق الموازية أو في أيدي غير أمينة.
جاء هذا الإعلان على لسان إيفان كرستيتش، نائب رئيس هندسة وهندسة الأمن في شركة آبل، خلال مؤتمر هيكساكون للأمن في باريس. وأوضح هناك أن آبل مستعدة لدفع "ملايين الدولارات" عندما تُكرر النتائج بدقة. الهجمات الأكثر تطورا التغييرات التي تُلاحظ في الواقع لن تبقى حبرًا على ورق: فقد أشارت Apple إلى أنها ستدخل حيز التنفيذ الشهر المقبل، وأن الدفع سيكون لمرة واحدة لكل سلسلة استغلال مُعتمدة.
مكافأة أمان Apple: من برنامج انتقائي إلى معيار صناعي
لم تأتِ هذه الحركة من فراغ. أطلقت شركة Apple برنامج مكافآتها عام ٢٠١٦ ببرنامج محدود للمدعوين فقط، بحد أقصى ٢٠٠ ألف دولار. لاحقًا، في عام ٢٠١٩، رُفع الحد الأقصى إلى مليون دولار، ومنذ عام ٢٠٢٠، أصبح البرنامج متاحًا للعامة، مما وسّع نطاقه وزاد عدد المشاركين فيه. خلال هذه الفترة، دفعت الشركة أكثر من 35 مليون دولار لأكثر من 800 باحث، ونشرت إصلاحات أمنيةويعد حجم النظام البيئي مهمًا أيضًا: إذ تزعم شركة Apple أنها تمتلك أكثر من 2.350 مليار جهاز نشط في جميع أنحاء العالم، وهو ما يزيد من مساحة السطح التي يتعين حمايتها.
تُدرك الشركة أيضًا أن المستوى التقني في ازدياد مستمر. فمع ازدياد قوة الأنظمة، يتطلب كشف الثغرات الحقيقية مزيدًا من الوقت والخبرة والجهد. ولذلك، قررت Apple مضاعفة حدودها: فهي تُريد مكافأة الأبحاث التي تُجسّد بدقة هجمات برامج التجسس المُرتزقة بمكافأة مُناسبة. الرسالة واضحة تماماإذا قضيت أشهرًا أو سنوات في تفكيك خطأ معقد والإبلاغ عنه بشكل خاص، فستكون المكافآت غير عادية.
الذروة الجديدة: 2 مليون للسلسلة ومكافآت تتجاوز 5 ملايين
إن جوهر الإصلاح يكمن في المكافأة على سلاسل استغلال البرامج التي تسمح بتحقيق أهداف مماثلة لتلك التي هجمات برامج التجسس مُتطور للغاية. إذا كشف تقرير عن سلسلة وظيفية تجعل هاتف آيفون هدفًا للتجسس، فستدفع آبل دفعةً واحدةً لهذا الاكتشاف، وقد تصل إلى مليوني دولار. لكن الأمر لا يتوقف عند هذا الحد: فإذا استُوفيت معايير المكافأة، سيرتفع المبلغ بشكل كبير.
تتضمن الإضافات الجديرة بالملاحظة الحالات التي يتم فيها اكتشاف الثغرة الأمنية أثناء إصدار تجريبي للنظام أو عندما تتمكن مجموعة التقنيات من تجاوز وضع القفل (وضع العزل)، وهي طبقة مصممة لحماية الأفراد المعرضين للخطر، مثل الصحفيين والناشطين وصانعي السياسات. في هذه الحالات، قد يرتفع المبلغ بشكل كبير، متجاوزًا عتبة الخمسة ملايين دولار، وهو رقم قياسي في هذا المجال، وفقًا لشركة آبل نفسها.
كما تُسلَّط الأضواء على هجمات النقر الصفري، وهي تلك التي لا تتطلب أي تفاعل من المستخدم لاختراق الجهاز. هذا هو نوع الهجوم الذي اعتمدت عليه أدوات التجسس مثل بيغاسوس، وتُشدّد آبل على ذلك لأن أولويتها هي تحييد... أخطر التقنيات قبل استخدامها ضد أشخاص حقيقيين. سبق للشركة أن رفعت دعاوى قضائية ضد مجموعة NSO، الشركة المطورة لبرنامج بيغاسوس، وهي الآن تُحوّل هذه المعركة إلى تعاون: إذا أثبت أحدهم وجود خرق، يُكافأ عمله بدلاً من تجريم البحث المسؤول.
بالإضافة إلى الرقم الكبير، يتضمن البرنامج عتبات متجددة في فئات محددة. على سبيل المثال، دفع مبلغ 100.000 دولار لتجاوز نظام macOS Gatekeeper بالكامل، ومكافأة تصل إلى مليون دولار لمن يحصل على وصول غير مصرح به على نطاق واسع إلى iCloud. في المقابل، تُقدَّم مكافآت بقيمة 1.000 دولار للمساهمات المتواضعة للتقارير ذات التأثير المنخفض، والتي، وإن لم تكن بالغة الأهمية، تُسهم في رفع مستوى الأداء العام.
الفئات الموسعة: من WebKit وSandbox إلى القرب اللاسلكي
كما توسع نطاق شركة Apple، حيث شملت واجهات هجومية لم تكن موضع دراسة أو لم تُعالج بشكل دقيق من قبل. ومن الأمثلة على ذلك ثغرات من نوع نقرة واحدة في البنية التحتية لـ WebKit الخاصة بمتصفح Safari، حيث حددت الشركة مكافآت تصل إلى 300.000 ألف دولار للهروب من صندوق الحماية بنقرة واحدة، اعتمادًا على التأثير وقابلية الاستغلال.
هناك جبهة أخرى ذات صلة وهي نقاط الضعف القرب اللاسلكيتُنفَّذ هذه الهجمات عبر أي نوع من أجهزة الراديو القريبة من الجهاز، مع تعويضات قد تصل إلى مليون دولار أمريكي حسب السيناريو. وفي فئات إضافية، تُقدِّم Apple تعويضات تصل إلى نصف مليون دولار أمريكي للهجمات التي تتطلب وصولاً فعليًا إلى جهاز مُقفل أو للبرامج الضارة القادرة على التهرب من بيئة الحماية للتطبيق، مما يُوضِّح أن أمن المحيط والأمن المحلي يُمثلان أولوية أيضًا.
كإبداع إجرائي، تقدم شركة Apple ميزة المكالمات أعلام الهدف، وهي طريقة تُجسّد روح مسابقات مثل "الاستيلاء على العلم" في العالم الحقيقي. تتيح هذه الأعلام الموضوعية إثباتًا موضوعيًا لقابلية الاستغلال في مجالات رئيسية، مثل تنفيذ التعليمات البرمجية عن بُعد أو تجاوزات الشفافية والموافقة والتحكم (TCC)، مما يُساعد على تحديد الأهلية وقيمة الجوائز بدقة.
مع Target Flags يأتي حافز تشغيلي: ستكون التقارير المقدمة بموجب هذه الطريقة مؤهلة لـ مدفوعات سريعةتتم معالجتها فور استلام البحث والتحقق منه، حتى قبل توفر الحل. هذا يُعزز السرعة دون المساس بالجودة التقنية أو دقة التحقق.
من يدفع أكثر؟ مقارنة مع جوجل، ميتا، ومايكروسوفت
غيّرت خطوة آبل صورة مكافآت الأخطاء في شركات التكنولوجيا الكبرى. أصبحت شركة كوبرتينو الآن رائدةً بوضوح في الفئات الأكثر تطلبًا، تاركةً جوجل في المركز الثاني. ووفقًا لبرامج وسيناريوهات مختلفة، فإن المركز الأول لجوجل هو 1,5 millones في بعض الحالات، يصل الحد الأقصى لشريحة Titan M إلى مليون دولار. من ناحية أخرى، حددت Meta الحد الأقصى عند حوالي 300 ألف دولار، ووصلت مايكروسوفت إلى 250 ألف دولار في برنامجها.
إن دفع آبل مبالغ إضافية ليس مجرد مسألة أرقام، بل استراتيجية. تُجادل الشركة بأن الحد من انتشار الثغرات الأمنية الخطيرة، أو منع استغلالها عند ظهورها، يتطلب الاستثمار في البحث الداخلي والتعاون الخارجي. في الواقع، تُدير الشركة مختبرًا أمنيًا في باريس يضم فريقًا من "نخبة القراصنة" الذين يحاولون اختراق أنظمتها، مع تقديرها في الوقت نفسه لاختلاف وجهات النظر التي يقدمها الباحثون المستقلون. إنه نهج 360 درجة الذي يسعى إلى إغلاق الدائرة: إذا كان هناك شخص قادر على كسر الدفاع، فليفعل ذلك في إطار البرنامج وبمقابل عادل.
وضع الإغلاق، التعزيزات المتطورة ومنخفضة المستوى
أُطلق وضع الإغلاق عام ٢٠٢٢ لتعزيز حماية الملفات الشخصية شديدة الحساسية. ووفقًا لإيفان كرستيتش، لم ترصد آبل خلال السنوات الثلاث التي انقضت منذ إطلاقه أي حالة تم فيها التحايل عليه بنجاح. هذا لا يعني استحالة ذلك، ولكنه يُظهر أنه لم يُلاحظ حتى الآن. ولهذا السبب تحديدًا، إذا تمكن أحدهم من توثيق عملية تحايل حقيقية، المكافآت المرتبطة السماح للدفعة النهائية بأن تتجاوز 5 ملايين دولار. تسعى هذه التدابير إلى حماية ملفات تعريف المخاطر وتوفير إجراءات واضحة للحوادث.
إلى جانب المكافآت، تُعزز Apple منصاتها على المستوى المعماري. والخبر الأبرز هو نظام تعزيز سلامة الذاكرة (MIE)، وهي آلية تُنسّق بين البرامج والأجهزة التي صممتها Apple نفسها لتعزيز أمان الذاكرة. تصفها الشركة بأنها "أهم تحسين في أمان الذاكرة في تاريخ أنظمة التشغيل الاستهلاكية". عمليًا، يرفع نظام MIE مستوى تقنيات وهجمات إتلاف الذاكرة. الفئة الأكثر استغلالا من الأخطاء على نظام iOS، مما يعود بالنفع على المستخدمين الأكثر عرضة للمخاطر والنظام البيئي ككل. لفهم المخاطر منخفضة المستوى بشكل أفضل، تُجرى أبحاث مثل تلك الموجودة على أمان شريحة Apple M1 أظهر لماذا تعتبر هذه الدفاعات بالغة الأهمية.
دعمت الشركة هذا الجهد بمبادرات ملموسة. وكجزء من التزامها تجاه الفئات الأكثر ضعفًا، أعلنت شركة آبل أنها ستتبرع ألف آيفون من سلسلتها الجديدة الموجهة للمنظمات التي تعمل مع الأشخاص المعرضين لخطر الهجمات الرقمية الموجهة، مما يؤكد على التركيز الاجتماعي للتدابير التي تعزز في نهاية المطاف حماية الجميع. كما تتضمن أدلة عملية لـ تعزيز أمان حسابك على iPhone التي تكمل هذه المبادرات.
كيف يتم تقييم الأبحاث وما هي القيم التي تقدرها شركة Apple
يُحافظ البرنامج على قاعدة واضحة: يُدفع لكل سلسلة ثغرات أمنية مبلغ فريد لكل اكتشاف مُثبت صحته. ما تُكافئ به Apple هو عرضٌ دقيق ومسؤول لمسار هجوم حقيقي، يتم التواصل بشأنه بشكل خاص، مع توفير معلومات كافية لإعادة إنتاج المشكلة وتصحيحها. يُطلب توثيق فني يشرح كيفية تطور الخطأ الأولي إلى تأثير حرج، ويُفضل أن يكون ذلك مع: إثبات المفهوم التي تثبت الاستغلال في ظل ظروف واقعية.
تُكافأ التقارير المُكتشفة خلال النسخة التجريبية لأنها تُمكّن Apple من توفير الإصلاح في الإصدار النهائي. تُبسّط علامات الهدف العملية: إذا استوفى التقرير علامات الهدف، يُمكن لفريق الأمن تقييم قابلية الاستغلال بشكل أسرع، وإذا لزم الأمر، تسريع الدفع حتى قبل إصدار التصحيح العام. إنه توازن مُعقّد بين السرية والإلحاح والدقة التقنية، لكن الهدف هو أن يشعر الباحثون بأن جهودهم تُقدّر بسرعة وإنصاف.
من يشارك؟ من "المخترقين الأخلاقيين" المستقلين إلى فرق الاستجابة للحوادث من المؤسسات الكبرى، بما في ذلك الأكاديميون والاستشاريون المتخصصون في البرمجيات الخبيثة المتقدمة أو تحليل الاستغلال. إن توسيع الفئات - القرب اللاسلكي، وWebKit، وiCloud، وGatekeeper، وTCC، وRCE - يفتح الباب أمام ملفات تعريف متنوعة، بما في ذلك تلك التي تعمل مع متجهات أقل تقليدية، والتي قد يكون لها تأثير هائل إذا لم يتم تحييدها بمرور الوقت.
لماذا من المفيد دفع ملايين الدولارات لإصلاح أخطاء البرامج
قد يبدو الأمر مفاجئًا للوهلة الأولى، لكنه يُؤتي ثماره لشركة آبل. فالتكلفة المحتملة لسلسلة من الثغرات الأمنية المُستخدمة في حملات ضد شخصيات عامة أو نشطاء - ناهيك عن تأثيرها على السمعة - أكبر بكثير من تكلفة مكافأة بملايين الدولارات. عندما تُصوّر الشركة نفسها على أنها... أفضل دافع في القطاعويرسل هذا إشارة قوية: ففي أصعب الفئات، فإن المكان الذي تتم فيه مكافأة الموهبة هو من خلال القنوات الرسمية، وليس السوق السوداء.
إن التأثير المترتب على هذه الإجراءات ليس هينًا. فرقم مليوني لسلسلة القاعدة، مع إضافات ترفع الإجمالي إلى أكثر من 5، يدعو الباحثين ذوي المهارات النادرة والمطلوبة بشدة إلى تكريس وقتهم لمنصة آبل. وإذا أضفنا إلى هذا المزيج تحسينًا هيكليًا مثل MIE ووضع عزل لم ينجح أحد حتى اليوم في تجاوزه بطريقة موثقة، فستكون النتيجة نظامًا بيئيًا حيث إنه مكلف بشكل متزايد لكي يتمكن المهاجم من تحقيق نجاح مستدام.
هناك أيضًا قراءة عامة. في عالم مليء بالتحديات أكثر من 2.350 مليار جهاز Apple قيد الاستخدامإن تعزيز الأنظمة ليس ترفًا، بل ضرورة، ليتمكن المستخدمون العاديون من الاستفادة، دون علمهم تقريبًا، من منافع سباق الأمان الذي يجري خلف الكواليس. تُشكل مبالغ 1.000 دولار أمريكي للتقارير البسيطة، أو 100.000 ألف دولار أمريكي لبرنامج Gatekeeper، أساس هرم يبلغ قمته 5 ملايين دولار أمريكي، مما يزيد بشكل ملموس من أمان أجهزة iPhone وiPad وMac.
ما أُعلن عنه في باريس ليس مجرد تغيير في الأرقام، بل هو تغيير في الوتيرة. تُضاعف آبل جهودها بتخصيص مليوني دولار لسلاسل تُضاهي برامج التجسس المُرتزقة، وتُوسّع نطاقها بفئات مثل خاصية النقرة الواحدة والقرب اللاسلكي من WebKit، وتُدمج ميزة Target Flags لتضييق نطاق الاستغلال وتسريع عمليات الدفع، وتُبقي نصب عينيها حماية الفئات الأكثر حاجةً بينما يحصل باقي الناس على الحماية من خلال الآثار الجانبية. في منطقة حيث الخصوصية وسلامة البيانات تبلغ قيمتها ذهباً، وقد أوضحت الشركة أنها على استعداد لدفع ثمنها.
