Apple begint met uitleveren van speciale iPhones aan beveiligingsonderzoekers

Apple is begonnen met het leveren van speciale iPhones voor beveiligingsonderzoekers. Het bedrijf heeft inmiddels meerdere onderzoekers laten weten dat de telefoons uit het Security Research Device Program hun kant op komen.

Het is niet duidelijk hoeveel onderzoekers al bericht hebben gehad en of ze de telefoons al hebben ontvangen, maar volgens MacRumors heeft Apple al met meerdere onderzoekers contact opgenomen. Het gaat om iPhones met minder restricties dan uitvoeringen voor consumenten. Onderzoekers kunnen de toestellen gebruiken om kwetsbaarheden in iOS te vinden. Met standaard iPhones is dat vanwege containerpolicies in het besturingssysteem vaak lastig, maar met de speciale iPhones hebben de onderzoekers meer rechten. Zo is shell-toegang mogelijk op de telefoons, en kunnen gebruikers allerlei tools draaien die normaal niet toegestaan zijn. Ook krijgen onderzoekers toegang tot bepaalde hardwarecomponenten zoals de Secure Enclave.

Apple kondigde in juli het Security Research Device Program al aan, maar begon toen nog niet met het uitdelen van de telefoons. Er zitten wel eisen aan het programma. De telefoons zijn alleen bedoeld voor onderzoekers die lid zijn van het Apple Developer Program, en onderzoekers moeten in het verleden al eens kwetsbaarheden in iOS hebben gevonden om in aanmerking te komen voor een toestel.

De telefoons worden in bruikleen verstrekt voor maximaal een jaar, al kan die periode op verzoek verlengd worden. Deelnemers aan het programma krijgen toegang tot een speciaal Apple-forum om over bugs te praten met Apple-technici, en krijgen extra documentatie over de iPhone. Wel zijn onderzoekers verplicht bugs te melden via Apples bugbountyprogramma. Daarmee kunnen ze maximaal een miljoen dollar verdienen. Dat is minder dan er op de commerciële markt wordt betaald voor iOS-kwetsbaarheden.

Reacties (19)

Hier een interessant artikel over hoe beveiligingsonderzoekers dergelijke telefoons tot nu toe bemachtigden:
Vice - The Prototype iPhones That Hackers Use to Research Apple’s Most Sensitive Code

Deze zogenoemde dev-fused iPhones zijn iPhone prototypes gestolen uit fabrieken. In iPhones zit een e-fuse die tijdens het fabricageproces wordt doorgebrand, dat is onomkeerbaar. Bij deze prototypes is de e-fuse intact, daarom heten ze "dev-fused" (in tegenstelling tot normale "prod-fused" apparaten). Wanneer iOS ziet dat deze e-fuse intact is, worden veel beveiligingsmaatregelen uitgeschakeld en is het eenvoudiger om kwetsbaarheden op te sporen.

Het is min of meer een publiek geheim dat beveiligingsonderzoekers deze gebruiken voor het vinden van kwetsbaarheden in iOS. Velen willen het bezit en gebruik ervan niet toegeven, het wordt soms gezien als valsspelen en het bezit ervan is uiteraard illegaal. Ik denk dat Apple de handel in deze dev-fused iPhones wil tegengaan, door hier zelf een programma voor op te zetten.

[Reactie gewijzigd door P1nGu1n op 24 december 2020 10:06]

Ik moet het even opzoeken maar heb gister ergens gelezen dat Apple dit juist nu doet omdat ze de zwarte markt wel kennen en oogluikend toelaten maar die toestellen onbetaalbaar zijn voor de gemiddelde onderzoeker.

Het klopt wat jij zegt. En heel veel onderzoekers vragen al jarenlang om een dergelijk type iPhone om onderzoek te kunnen uitvoeren. Ik denk dat een boel mensen erg blij worden van deze mogelijkheid.

Het lijkt me dat je serieuze beveiligingsonderzoeker geen gestolen devices wilt gebruiken. Als je iets vindt kan je er niets mee. En als je er wel iets mee doet, zit je meteen in een dubieuze hoek. Als een serieus security bedrijf als pak m beet P3/Umlaut dit zou doen zijn ze meteen de rest van hun business kwijt.

Het kan het opsporen vergemakkelijken. Je kan daarna de bevindingen uitwerken tot een proof of concept die ook werkt op een normale iPhone. Je hoeft dan dus niet toe te geven dat je een gestolen exemplaar hebt gebruikt.

Edit: dit betreft slechts een aanname van mijn kant.

[Reactie gewijzigd door iam2noob4u op 24 december 2020 10:13]

Uiteraard kun je er iets mee. Normaal gesproken is het vinden van dergelijke bugs in een dichtgetimmerde omgeving zoeken naar een speld in een hooiberg. Als je eenmaal een exploit hebt gevonden, kun je die verder ontwikkelen zodat deze ook te gebruiken is op een normaal toestel. Als je zover bent is dat zeker iets waar je iets mee kan, hoe het ontdekkingsproces er precies uit zag hoef je niet openbaar te maken natuurlijk.

Het lijkt me dat je serieuze beveiligingsonderzoeker geen gestolen devices wilt gebruiken. Als je iets vindt kan je er niets mee.

Serieuze beveiligingsonderzoekers werken ook voor overheids- en inlichtingendiensten. Binnen zo'n 'beschemde' organisatie kan je daar heel veel mee.

Volgens mij heeft een serieuze beveiligingsonderzoeker sowieso een volledige blauwdruk van het hele apparaat nodig. Aangezien Apple dat waarschijnlijk aan niemand geeft, zelfs aan eigen medewerkers niet, blijft het altijd een beperkt onderzoek. De kans dat achteraf zaken worden gevonden door derden blijft groot.

Het lijkt me dat je serieuze beveiligingsonderzoeker geen gestolen devices wilt gebruiken

Het lijkt me dat je als serieuze wielrenner geen doping wil gebruiken. Maar als je mee wilde doen met de top had je niet echt keuze.

Ik zou zeggen, lees het artikel door en oordeel zelf

Interessant! Bedankt voor de link naar het artikel.

Als Tweakers zich nog afvraagt wat nu echt premium content zou zijn... Dit dus. Dank voor het delen!

Eh tweakers de commerciële markt?

Bedoel je dan wat er door criminelen en inlichtingendiensten en die schimmige bedrijven die tegen betaling inbreken op telefoons voor betaald wordt?

Op zich is de term commercieel correct maar ik ben toch blij als de kwetsbaarheden alleen aan Apple gemeld worden en niet aan bovengenoemde partijen (die wat mij betreft allemaal in meer of mindere mate verkeerd bezig zijn). Jullie mogen het van mij de criminele markt noemen.

[Reactie gewijzigd door Vizzie op 24 december 2020 10:56]

Bedoel je dan wat er door criminelen en inlichtingendiensten en die schimmige bedrijven die tegen betaling inbreken op telefoons voor betaald wordt?

Ja. Soms is dat crimineel, soms ook niet. Inlichtingen inwinnen is niet per definitie crimineel. Zerodays gebruiken voor politieonderzoek ook niet. Ethisch, daarover mag je een mening hebben, maar het is absoluut geen criminele markt.

Volgens mij mag de politie niet hacken tenzij daar uitzonderingen voor zijn. Of THTC daar onder valt weet ik niet. MIVD en AIVD wel. Dan nog zit daar een toezichthouder op.

De politie mag dat zeker, er zitten wel voorwaarden aan uiteraard, en toezicht en toestemming van de pg bijvoorbeeld. Het alternatief voor een huiszoekingsbevel.

Daarnaast kan het gewoon gaan om in beslag genomen apparatuur. Daar mogen ze natuurlijk van alles mee.

Uiteraard allemaal in het kader van opsporing.

Alleen team DIGIT, dat is uitdrukkelijk geen THTC.