Apple invite les experts en sécurité à l’aider à traquer les failles

Apple s’appuiera désormais sur des talents extérieurs pour améliorer la sécurité de ses logiciels. Au dernier jour de la conférence Black Hat aux États-Unis, qui s’est tenue du 30 juillet au 4 août à Las Vegas, la firme de Cupertino a levé le voile sur un programme de récompenses destiné à encourager les contributions d’experts en sécurité informatique pour renforcer la qualité de ses produits.

Ce faisant, Apple rejoint de nombreuses sociétés américaines qui ont déjà adopté ce type de dispositif, à l’image de Google, Facebook, Tesla, Mozilla ou Fiat Chrysler. Il faut dire que le principe est très efficace : il permet de verser quelques milliers ou dizaines de milliers de dollars à un spécialiste pour une brèche qui aurait pu sinon causer bien plus de dégâts si elle avait été exploitée.

Sur la photographie prise par Jay Freeman, alias Saurik, le développeur de Cydia, une appli qui figure sur les terminaux jailbreakés de la marque à la pomme, force est de constater que la grille tarifaire met en jeu des primes potentiellement très élevées : pour la catégorie la moins critique, le plafond est fixé à 25 000 dollars. Pour la plus grave, les chercheurs sont susceptibles de toucher jusqu’à 200 000 dollars.

Parmi les catégories élaborées par Apple, on trouve par exemple l’exécution d’un code arbitraire avec des privilèges noyau (kernel) ou encore l’accès non autorisé aux données d’un compte iCloud sur les serveurs Apple. On se souvient que le service de stockage de données à distance avait été au cœur d’une polémique fin 2014 lorsqu’une faille a été exploitée pour dérober des photos intimes de personnalités.

C’est bien entendu Apple qui décidera du montant exact de la prime qu’il faudra verser à celui ou celle qui a découvert la vulnérabilité. Divers facteurs seront pris en compte, que ce soit la gravité de la brèche, la difficulté à la mettre en place, la clarté du rapport qui aura été produit etc. Apple ne devrait toutefois pas se montrer trop pingre, car il y va de son intérêt que les experts ne soient satisfaits de leurs récompenses.

The Verge signale que le programme de récompenses d’Apple est pour l’instant réservé à une poignée de spécialistes triés sur le volet, une douzaine, mais dont le nombre sera amené à croître via un système d’invitation. C’est en septembre qu’il sera être lancé. Apple a promis, selon Jay Freeman, de favoriser en priorité les correctifs pour que sa clientèle soit le plus rapidement hors de danger.