Apples bugbountyprogramma komt maar moeilijk op gang

Een whitehat hacker heeft details over drie kwetsbaarheden in iOS online gezet. Dat deed hij niet zomaar; hij ergerde zich aan Apples lakse houding als het gaat om het oplossen van bugs die via onderzoekers binnenkomen. En hij staat daar bepaald niet alleen in.

Drie maanden wachtte illusionofchaos, zoals ethisch hacker Denis Tokarev zich noemt, op Apples antwoord rondom zijn bevindingen. Hij vond meerdere kwetsbaarheden in besturingssysteem iOS, en waarschuwde Apple daarvoor. Maar Apple reageerde niet. Na weken radiostilte was de ethisch hacker het zat; hij publiceerde op zijn blog informatie informatie over de kwetsbaarheden. Daarmee kan in principe iedereen met de juiste skills een exploit maken waarmee gebruikersgegevens konden worden gestolen. Normaal gesproken gaat het melden over een kwetsbaarheid simpel. De hacker vindt een zwakheid, geeft het door aan het bedrijf, en dat repareert het binnen een vooraf bepaalde periode. In ruil daarvoor krijgt de ontdekker meestal een beloning of op z'n minst een schouderklopje. Maar illusionofchaos vond dat hij daarop te lang moest wachten. Hij staat daarmee bepaald niet op zichzelf. In het verleden hebben veel hackers geklaagd over Apples afhandeling van bugbounty's. Die afhandeling zou stroef en traag verlopen.

Hoe zat het ook alweer?

Tokarev zegt in zijn blogpost dat hij drie kwetsbaarheden vond. De ernstigste ervan was een bug in Game Center in iOS. De hacker ontdekte een mogelijkheid waarmee een geïnstalleerde app privé-informatie uit de Core Duet-database in het besturingssysteem kon stelen. In die database staan contactpersonen en metadata over contacten. Ook kon hij de authenticatietoken van een Apple ID achterhalen, en read-toegang krijgen tot het adresboek van de gebruiker.

De hacker ontdekte de kwetsbaarheden begin dit jaar. Op 10 maart stapte hij naar Apple, naar eigen zeggen keurig via het Security Bounty-programma. Dat is Apples responsible-disclosurebeleid. Tokarev zegt dat de bounty voor het melden zeker 100.000 dollar waard moest zijn. Hij verwijst naar de pagina met beloningen, en specifiek naar beloningen voor 'User-installed Apps: Unauthorized Access to Sensitive Data'. Die kent drie tiers van 25.000, 50.000 en 100.000 dollar. De hoogste beloning is voor 'brede toegang tot gevoelige informatie' die beschermd hoort te zijn door de iOS-sandbox of door een prompt voor een take command console. Tokarev is van mening dat hij aan die criteria voldeed met zijn ontdekking. Normaal gesproken moet de partij die het bugbountyprogramma draait diezelfde definitie volgen, maar dat gebeurde in dit geval niet. Sterker nog, Apple liet weinig van zich horen.

Volgens Tokarev kreeg hij weliswaar meteen een bevestiging dat Apple zijn melding had ontvangen, maar het bedrijf gaf pas op 25 augustus aan dat het het probleem 'bij een volgende update' zou oplossen. Dat is bijna 5,5 maanden na zijn eerste melding. Erger nog, in iOS 15 is het probleem niet eens helemaal opgelost, zegt hij. Daarop besloot hij zijn bevindingen maar online te zetten.

iOS 15 loste niet alle problemen op.

Apples bugbountyprogramma

Apples bugbountyprogramma is jong vergeleken met andere programma's, en kent veel restricties. Daardoor vlot het niet erg met het programma en zijn er meerdere beveiligingsonderzoekers die vervelende ervaringen met Apple beschrijven. Apple begon pas met een bugbountyprogramma in 2016, rijkelijk laat als je bedenkt dat de iPhone toen al negen jaar oud was en iOS al aan versie 10 toe was. De App Store bevatte toen al twee miljoen apps, maar Apple had nog steeds geen officieel beleid voor het oplossen van bugs die externe beveiligingsonderzoekers aandroegen. Die konden sporadisch wel aankloppen bij het bedrijf, maar er waren tot dan toe geen richtlijnen voor het verdere verloop van het onderzoek. Een officieel bugbountyprogramma stelt vooraf zulke richtlijnen op. Die schrijven voor welk type bugs wel en niet in aanmerking komt om behandeld te worden, op welke manier een onderzoeker zijn onderzoek mag uitvoeren en indienen, welke beloftes het bedrijf doet om voor oplossing te zorgen, en niet geheel onbelangrijk, welke beloning de onderzoeker krijgt. Tot het bètaprogramma bepaalde Apple dat arbitrair en in overleg, als de situatie zich aandiende.

Apple begon pas in 2016 met zijn bugbountyprogrammaHet echte bugbountyprogramma begon pas in september 2016, toen het bedrijf dat tijdens de beveiligingsconferentie BlackHat aankondigde. Het programma begon als gesloten bèta. Hackers mochten alleen meedoen als ze daar zelf door Apple werden uitgenodigd. Dat gebeurde alleen bij onderzoekers die eerder al met Apple hadden samengewerkt. Alleen iOS viel binnen de scope. Pas in december 2019 gooide Apple het programma helemaal open. Vanaf dat moment vielen ook andere Apple-producten onder de regels, zoals macOS en iCloud.

Laat begonnen

Apple is daarmee rijkelijk laat. Vrijwel alle andere grote techbedrijven hadden al lange tijd een veelgebruikt programma, met duidelijke regels en goed doordachte beloningen. Die bedrijven gaan zelfs vaak een stap verder. Google keert sinds 2019 zelfs bugbounties uit voor kwetsbaarheden in apps van derde partijen. Facebooks programma bestaat al sinds 2011. Microsofts huidige programma bestaat sinds 2013, maar de softwaregigant werkte ook al jaren daarvoor met onderzoekers samen om kwetsbaarheden te patchen. Daar werd ook regelmatig geld voor betaald. Je kunt Apples trage reactie op bugbounty's deels wijten aan opstartproblemen.

Hoge beloningen

Apple mag dan aan de late kant zijn, geld heeft het genoeg. Aanvankelijk was het hoogste beloningsbedrag dat Apple uitdeelde 200.000 dollar voor een kwetsbaarheid in het secure boot-element van het besturingssysteem. Informatie uit de Secure Enclave van de iPhone achterhalen leverde 100.000 dollar op, en het uitvoeren van code op kernelniveau 50.000 dollar. Inmiddels zijn de prijzen wel gestegen, naar maximaal een miljoen dollar voor een kernel-kwetsbaarheid waarbij geen gebruikersinteractie nodig is.

De beloningen van Apple zijn hoog in vergelijking met die van andere grote techbedrijven. Google biedt ook maximaal een miljoen dollar voor een bepaald soort bugs, maar alleen in de Titan M-soc van de Pixel-telefoons. De prijzen lopen verder soms gelijk op met het programma voor Android, maar er zijn ook grote verschillen te zien. Een lockscreen-bypass levert bij beide maximaal 100.000 dollar op, maar een code execution in the kernel is 250.000 dollar waard bij Android en 150.000 dollar bij iOS. Voor Google-producten in het algemeen zijn de beloningen doorgaans veel lager: 31.137 dollar voor een overname van een Google-account is de maximale beloning.

Bij Apple is het vaak een stuk minder duidelijk wat je krijgt vóór je een melding doet, zegt Thijs Alkemade van Computest tegen Tweakers. Hij levert regelmatig bugreports aan bij Apple, maar ook bij andere bedrijven. Het valt Alkemade op dat het bij Apple vooraf moeilijker in te schatten is wat de beloning wordt. "Apple is daar veel vager over. Ze zijn veel meer op impact gefocust, dus als je bijvoorbeeld bij bestanden kunt komen kan een kwetsbaarheid ineens in een heel andere categorie vallen."

Problemen

De problemen rondom Apples bugbountyprogramma hebben dan ook niet altijd iets te maken met geld. De hoogte van beloningen is bij alle bugbountyprogramma's een lopende discussie. Ook in de wereld van securityonderzoekers is er weinig consensus. Iedere ethisch hacker heeft er een andere mening over. Beloningen zeggen bovendien niet alles. Om het succes van een programma te analyseren moet je je daar niet op blindstaren. Er zijn namelijk veel andere aspecten die meespelen, en weinig zijn er voor ethisch hackers zo belangrijk als erkenning.

Hackers die hun kwetsbaarheden niet alleen melden voor het geld doen dat naar eigen zeggen om de wereld wat veiliger te maken, maar roem, eer en erkenning spelen wel degelijk een grote rol. Juist daar laat Apple regelmatig steken vallen, blijkt ook weer uit de rapportages van illusionofchaos. De openheid die ethische hackers nastreven staat op gespannen voet met het gesloten bastion uit Cupertino. Apple probeert iOS hermetisch af te sluiten, ook voor onderzoekers. Wel deelt het bedrijf sinds eind vorig jaar speciale iPhones aan hackers uit voor onderzoek. Het Security Research Device Program geeft onderzoekers meer toegang tot hardwarecomponenten zoals de Secure Enclave en tot shell-toegang zodat ze hun eigen tools kunnen draaien. Maar hoeveel van die telefoons er zijn uitgedeeld en wat de resultaten van het programma zijn is bijna net zo geheim als de broncode van de telefoons zelf.

Zwart gat

Uiteindelijk is het van belang hoe een bedrijf omgaat met de meldingen die binnenkomen, en met de onderzoekers zelf. Thijs Alkemade herkent de frustratie van Tokarev wel. "Ik heb ook wel eens kwetsbaarheden gemeld aan Microsoft of Adobe. Je hebt daar het idee echt in gesprek te zijn met iemand die met je meedenkt", zegt hij. Bij Apple is dat anders. Dat noemt hij 'een zwart gat', waar je een melding heen stuurt en maar moet hopen of je er iets van terug hoort. "Soms krijg je wel eens een bericht terug met 'test deze data nog eens een keer', maar je hoort ook vaak niets. Dat kan soms maanden duren." In de tussentijd, zegt hij, heb je als melder vaak geen idee wat er met je melding gebeurt. "Je moet ook zelf blijven vragen om updates, uit zichzelf sturen ze dat niet."

Het komt vaker voor dat Apple niet thuis geeft aan onderzoekers. Zo sprak The Washington Post eerder deze maand met verschillende beveiligingsonderzoekers die dezelfde grieven hadden. Apple zou traag reageren op bug reports, en bovendien strenge eisen stellen rondom non-disclosure agreements. Hackers mogen daardoor lang niet altijd publiceren over hun bugs wat ze willen. De regels zijn daarvoor bij Apple veel strenger dan bij bijvoorbeeld Google of Microsoft of via platformen zoals HackerOne waardoor hackers in de praktijk weinig informatie over hun bevindingen mogen publiceren.

Meerdere onderzoekers geven tegen The Washington Post aan dat hun bug reports niet werden opgepakt door Apple. De krant sprak onderzoekers die in sommige gevallen maanden wachtten op antwoord. Een bugbounty moet van twee kanten komen: de ontdekker van een lek houdt zich aan regels rondom publicatie, maar mag daarvoor verwachten dat een bedrijf binnen een bepaalde tijd met een fix komt of in ieder geval aangeeft als dat langer duurt. Daarvoor is geen vaste regel, maar Googles interne bugtrackers van Project Zero houden negentig dagen aan. Dat is in de industrie een informele vuistregel geworden. Apple doet er soms maanden langer over om zelfs maar een update te geven, blijkt uit meldingen van verschillende onderzoekers.

Niet betaald

Andere problemen zijn de trage of lage uitbetalingen. The Washington Post sprak met een hacker die een bug had gevonden waarmee hij bij gevoelige gegevens kon komen, maar Apple betaalde hem daarvoor 5000 dollar in plaats van 100.000 waarop hij recht dacht te hebben. Zhang meldde een bug die weliswaar werd gerepareerd, maar ontving daar helemaal geen beloning voor. Er zijn op internet ook meer dan genoeg blogposts te lezen van onderzoekers die balen van hun interacties met het bedrijf. Onderzoeker Nicolas Brunner publiceerde over een lek dat locatiegegevens kon achterhalen. Dat lek werd gerepareerd in iOS 14; Apple noemde Brunner zelfs specifiek als de ontdekker. Een beloning bleef uit, en Apple weigerde toelichting.

Veel verschillende beveiligingsonderzoekers klagen over Apples trage afhandeling van bugs reportsDe grieven van Tokarev staan daarmee niet op zichzelf. Hij linkt ook naar verschillende andere verhalen van balende onderzoekers. Uit het onderzoek van The Washington Post zou blijken dat Apple grote achterstanden heeft met het wegwerken van bugs. Het is moeilijk dat te vergelijken met andere bedrijven. Google, Microsoft, Facebook of Mozilla maken regelmatig bekend hoeveel bugs zijn opgelost en hoeveel bounties er zijn uitgekeerd, maar cijfers over meldingen die nog liggen worden zelden publiek gemeld. Bovendien maakt Apple zelf ook niks bekend over de resultaten van zijn eigen programma. Het enige referentiekader bestaat daarom uit berichten van onderzoekers zelf - maar dat lijkt, zeker na de ophef rondom Tokarev' melding, niet in het voordeel van Apple te spreken.

Apple heeft inmiddels gereageerd. Tokarev ontving een e-mail waarin Apple zegt zijn melding nog steeds te bekijken. Het bedrijf bedankt hem verder voor de melding, maar geeft verder weinig opheldering over een mogelijke patch. Of een beloning. Het bedrijf antwoordde niet op vragen van Tweakers.

Reacties (19)

[Keypunchie]

Het is niet verrassend dat het bug bounty programma van Apple zo weinig responsief is. Hun reguliere (non-security) programma is dat ook. Bugs die al jaren doorzeuren.

Er zit iets in hun cultuur dat externe factoren niet serieus worden genomen.

Soms pakt dat goed uit, zoals dat ze hun eigen hardware plan trekken, maar voor de kwaliteit van de software is het echt een groot nadeel en bron van frustratie.

[Blokker_1999]

20 jaar geleden hadden de vele veiligheiedslekken in Windows tot gevolg dat MS het roer omgooide en enorm ging inzetten op veiligheid. Bij Apple is dat blijkbaar nog altijd niet gebeurd. Aan de ene kant kom je nog altijd Apple gebruikers tegen die er van uitgaan dat hun platform inherent veilig is, een beeld dat Apple blijkbaar ook wil laten bestaan. Aan de andere kant hebben zij nog nooit echt de incentive gehad om echt te gaan focussen op veiligheid zoals MS bijna gedwongen werd 20 jaar terug.

[Keypunchie]

Het is volgens mij niet zo dat ze veiligheid niet serieus nemen. Secure Enclave, Signed System Volume, alles rondom app validatie (Gatekeeper, ben ff de naam kwijt), dat is allemaal prima op orde qua gedachtegoed.

Backwards compatibility offeren ze ook vrij makkelijk op.

Maar het probleem zit hem vooral in het goed omgaan met signalen van buiten het bedrijf.

[IStealYourGun]

Ik moet zeggen dat ik 2 keer een (security) bug ben tegengekomen op de website van Apple en die werden heel snel opgelost.

Een keer zag ik een sql error, maar toen ik dat de volgende dag wou reproduceren, werkte het niet meer. Een andere keer kreeg ik enkele dagen na her registreren van een Apple care product een zeer vage telefoon van een medewerker van Apple omdat ze problemen hadden met de registratie. Tijdens het gesprek werd duidelijk dat er een developer uit de VS ook aan het meeluisteren was en ze de bug aan het fixen waren.

Dat was wel allemaal een hele lang tijd geleden, +10 jaar terug, maar ik was verbaasd over de snelheid.

[Blokker_1999]

Geen van die 2 zijn een security bug. Een foutmelding van een database hoort aan de ene kant niet zichtbaar te zijn in een productieomgeving, maar geeft over het algemeen nooit meer informatie weer dan wat er op de pagina zelf had mogen staan. Had je kans gehad om data te injecteren in de query en als die data onveilig werd afgehandeld, dan had je een ander verhaal.

En ook je tweede voorbeeld is wel een bug, en goed dat ze het oplossen. Maar ook daar willen ze gewoon begrijpen wat er gebeurd is omdat er dus iets misloopt in hun backend en dat dus grote gevolgen kan hebben voor de juiste werking.

Bugs die opvallen, die zichtbaar zijn en die de normale werking verstoren krijgen altijd een hogr prioriteit. Maar enorm veel bugs, en vaak dus ook beveiligingsbugs, krijgen nooit enige publiciteit. Net omdat niemand er veel kenbaarheid aan wenst te geven.

[IStealYourGun]

Bij de eerste kwam het door een apostrof en ging het vermoedelijk over een potentiële sql injection bug. De volgende dag was het weg, dus ik heb het nooit echt kunnen analyseren.

Bij de 2e was het vermoedelijk ergens in een middelware, dus minder erg. Maar het hele proces was gewoon off the record en informeel in tegenstelling tot een bounty program dat een heel process moet doorlopen.

[Jerie]

Kan wel handig zijj voor recon zo'n SQL error maar je zult toch echt moeten testen of het een injection betrof. Kan heel goed ook iets anders zijn.

[no_way_today]

Mooi producten, goede interface van het OS, maar dit is dan jammer. Wellicht is het een beetje ‘wat ik niet zie bestaat niet’.

[DePruus]

Ik neem al tijden als beta tester deel. En merk dat sommige zaken pas laat opgepakt worden. Het lijkt erop dat ui zaken het snelst opgepakt worden. De feedback komt soms ook erg laat.

[HKLM_]

Heb je dan ook zo’n speciale telefoon gehad van ze?

[JDx]

Teslas Mars programma loopt gestaag.

[Mr. Freeze]

Het lijkt me voor een bedrijf als Apple ook niet makkelijk, mogelijk krijgen ze duizenden zogenaamde bugs van allerlei gebruikers en dan blijkt 99% niet echt een bug te zijn. Ga daar maar eens doorheen spitten.

Natuurlijk de genoemde specifieke gevallen genoemd in artikel zou het ze wel sieren als Apple die gevallen correct oppikt en afhandelt.

edit: inmiddels is wel iOS 15.01 verschenen gisteravond.

[Reactie gewijzigd door Mr. Freeze op 25 juli 2024 22:18]

[Keypunchie]

Het lijkt me voor een bedrijf als Apple ook niet makkelijk, mogelijk krijgen ze duizenden zogenaamde bugs van allerlei gebruikers en dan blijkt 99% niet echt een bug te zijn.

Het is niet alsof ze het geld niet hebben om mensen in te huren.

Die hoeven zelf ook geen senior OS developer te zijn. Ze hoeven alleen maar voldoende kennis te hebben om het bug report te begrijpen en te kijken of ze het kunnen reproduceren (is het dus wel echt een bug).

Wat echter het beeld van buiten af is, is dat ze bugs vooral willen 'afhandelen', in plaats van de software verbeteren. Het ergste is 'not a regression'. Een oude bug die ook al in eerdere versies voorkomt, wordt als 'not a regression' gemarkeerd en vervolgens niet opgelost.

https://tidbits.com/2019/...nd-catalina-are-so-buggy/

Dit gaat over de non-security bugs. Maar het lijkt alsof ze dezelfde houding ten opzichte van security bugs hebben.

(Het allereerste punt is interessant om te bedenken hoeveel features van iOS 15 naar achter geschoven zijn. Volgens mij zou het Apple goed doen om van de jaarlijkse OS release cyclus af te stappen, zeker voor Mac.)

[Reactie gewijzigd door Keypunchie op 25 juli 2024 22:18]

[vgroenewold]

Ja, dit soort zaken (samen met het kidnappen van goedlopende apps en daar vervolgens de oorspronkelijke ontwikkelaar niet voor betalen) hebben mij doen besluiten niet meer verder te gaan met mijn Swift studie. Erg jammer, want bevalt me prima, maar als je niet echt serieus wordt genomen en zelfs risico loopt op mislopen van inkomsten mocht je een goede app hebben, dan dank ik daar toch voor. Ik ben geen grote fan van Java, maar toch die kant op gegaan en van daaruit zal Python et al ook wel komen. Dat ik kan switchen van mijn Windows machine naar Linux en MacOS bevalt me nog meer.

De manier van handelen lijkt hier heel erg op die van de belastingdienst ook.

[Jerie]

Jiska Classen heeft ook nog een leuke in de maak, PoCs voor BrakTooth. NDA expired eind oktober.

https://naehrdine.blogspo...n-bluetooth-firmware.html

[kodak]

De medewerker van Apple die in 2016 dit programma aankondigde is nu in 2021 nog head of security engineering and architecture. Die lijkt het kunnen melden, belonen en openbaar maken nog steeds belangrijk te vinden. Een paar dagen geleden lanceerde Apple het security research device programma, dat ook weer bedoeld is om security researchers beveiligingsproblemen te kunnen vinden, melden en publiek te maken.

Wat constant lijkt te ontbreken is genoeg duidelijkheid hoe Apple met meldingen om gaat, en mogelijkheid om dat te veranderen als ze weer lijken af te wijken. Een bedrijf is groter dan deze head of security. Die zal ook te maken hebben met andere managers naast en boven hem, waar hij van afhankelijk is. Daar is nauwelijks iets over bekend.

Het probleem kan dus zijn dat het head of security Apple wel mee wil laten doen aan het concept van bug bounty, maar geen serieuze mogelijkheden heeft om dat waar te maken. Bijvoorbeeld omdat er wel budget voor de marketing is om Apple zo mooi mogelijk over te laten komen dat ze aan bug bounty doen, maar er geen mensen zijn die controleren of medewerkers de meldingen wel serieus nemen, of willen beslissen dat het juridisch een goed idee is om fouten te erkennen, of dat het een goed idee is grote bedragen te betalen die een ander met vage termen bedacht heeft.

Als deze head of security zo voor bug bounty is dan mag na 5 jaar wel eens duidelijk worden waarom deze het acceptabel lijkt zoals het nu werkt. Het heeft er helaas meer van weg dat het voor het bedrijf belangrijker is om iets mooi te laten lijken alsof ze mee doen en ondertussen weg proberen te komen met zo min mogelijk doen wat bij bug bounty principes hoort en daar ook geen verantwoordelijkheid voor te willen nemen.

[SED]

Nee, dat zijn features.