白帽子兴趣消退：“泥泞中”的苹果漏洞赏金计划 - FreeBuf互联网安全新媒体平台 | 关注黑客与极客
白帽子兴趣消退：“泥泞中”的苹果漏洞赏金计划
共241006人围观
近一年后，却鲜有听闻已有白帽黑客领取漏洞奖励，这种“怪现象”开始导致一些常为苹果公司提交高价值漏洞的安全研究人员开始保留漏洞而不提交官方。
苹果漏洞奖励计划之“怪圈”
iPhone手机的安全性确实很高，但也很难发现其中的漏洞，这最终导致灰色市场上漏洞价格持续上涨，而这种情况的发生，就是因为这些漏洞非常有价值，安全研究人员通常不愿意报告漏洞问题，主要因为提交一些漏洞可能会影响他们进行更多的研究。
曾任NSA和Synack研究员的Patrick Wardle目前正从事MacOS系统研究工作，同时被邀请参加苹果的漏洞赏金计划。他表示：
“向苹果报告的漏洞都非常有价值，如果你只是为了赚钱，你不会直接提交给苹果”
除了Wardle和Bassen之外，同时又对八个匿名接受采访的赏金猎人做了采访，他们都对计划细节之处做出了个人看法，但他们都表示还没有向苹果公司提交漏洞，而目前他们都对除了自己以外谁还拥有漏洞尚不清楚，而苹果也未就此事做出任何评论。
2016年9月，苹果目光转向沃尔特（美国地名），并邀请知名iPhone越狱大师Luca Todesco以及一个被选拔好的小型到苹果Cupertino总部。在他们逗留期间，苹果邀请这些安全研究人员加入漏洞赏金计划，苹果安全研究人员又做出了一些关于此类主题的演讲，并挽留他们吃晚餐，之后又和他们聊天，讨论工作和遇到的问题。据当时出席的两位消息来源人士称，当时苹果公司软件工程高级副总裁Craig Federighi也出席了这次活动，并表示欢迎他们的到来。
这是一个很大的转变，有不少安全研究人员和专家长期以来一直抱怨称，在所有技术巨头中苹果一直存在一个非常大的困境----没有漏洞赏金计划，
已经在这方面有多年的努力，对于非恶意目的且有选择性报告漏洞的白帽黑客而言，也是很有必要的。
一名之前曾担任苹果安全方面研究的员工，在不披露协议条件且匿名情况下向我透漏称：
“苹果不会粗心地处理任何事----包括漏洞奖励计划的流程及执行，必须没有任何风险情况。他们是完美主义者。”
去年，苹果了一个命令，即协助美国联邦调查局解锁加州圣伯纳迪诺抢手的iPhone手机，该***手曾在2015年12月造成14人死亡，22人受伤，苹果曾就此事和调查局周旋数月，但最终联邦调查局解锁了手机，而这一切并不是在苹果的协助下完成的。相反的是，联邦调查局支付了一名未透露姓名昂贵的费用。也许正如所描述的那样，出于某种原因黑客向调查局出售了该漏洞，而并未向苹果提交。
虽然该计划公开公布的，但和苹果发布的其它事情一样该计划仅限于内部邀请状态。
从克斯迪克公布的内容里可以知道，接受邀请的研究人员有机会从iOS和MacOS的漏洞中获得25000美元到20万美元不等的奖励。
这听起来好像有很多钱的样子，但我们讨论其中一些安全研究人员没有向苹果提交漏洞的原因之一，就是不清楚漏洞奖励这么高，在私人盈利以及灰色的市场中，例如这样的公司从研究人员那里买来漏洞并将其卖给客户，其中可以实现iPhone的多个漏洞的方法价值150万美元。另外一家公司Exodus Intelligence表示向其提交iOS漏洞可获得高达五十万美元的资金。这些公司声称仅向公司售卖，以帮助他们保护其网络，又或协助执法及情报机构进入有较高价值的目标。
有些黑客也可能会充分参与苹果的漏洞奖励计划，并选择不公开讨论已提交的漏洞。但苹果要求在安全研究人员参与计划之前签署协议，却没有严格禁止他们讨论他们发现的漏洞。参与该计划的一个研究人员和我说，协议主要是让研究人员提交后一直等待，一直到问题解决，而在这个期间可以详细和苹果方面详细阐述漏洞问题，通常情况下，研究人员很希望获得公众对他们的发现的认可，无论他们想要显示能力，还是为了今后自己的履历能增添色彩，即成为世界上能够攻破最安全软件黑客之一。
评论对此事意见不一
曾经对iOS安全性进行系统研究的专家Guido解释称，苹果系统非常安全，即使你花费数周或数月时间查找，发现价值二十万美元的漏洞也不太可能。
由于iOS系统是一种比较复杂、牢固、安全的系统，需要对其进行长时间研究和观察，而这就需要多个补丁、零日漏洞或一次完美的越狱。换句话说，需要从几个关联的漏洞中才能发现更深层次的漏洞。而这也解释了，为什么有些人喜欢保留他们的漏洞，继续做研究，而不是让自己获得数千美元的奖励。
研究人员在访问Cupertino总部的时候，要求苹果安全团队提供不具有特殊限制的iPhone，从而更容易地对其进行攻击测试。这些设备将具有一些例如沙盒、禁用功能，可以使研究人员更好的完成研究性任务，一位研究人员将其描述为“开发者设备”。
可惜的是，目前据其中三位研究人员的说法，苹果并不愿意提供这些特殊设备。
“苹果再次尝试了一些新鲜的东西，并为漏洞提供巨额报酬，但他们没有正确的理解漏洞赏金市场，也不了解白帽黑客们帮助他们的动机。在某种程度上，漏洞的提交数量减少，一方面应该被视为iPhone的安全性的证明，另一方面也说明了苹果需要在信息共享方面做的更好
*参考来源：，饭团君编译，转载请注明来自FreeBuf.COM
必须您当前尚未登录。
必须（保密）
simple is the best
关注我们 分享每日精选文章
可以给我们打个分吗？赏金的冷兵器选择〔仅个人观点〕【战锤末世鼠疫2吧】_百度贴吧
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&签到排名：今日本吧第个签到，本吧因你更精彩，明天继续来努力！
本吧签到人数：0可签7级以上的吧50个
本月漏签0次！成为超级会员，赠送8张补签卡连续签到：天&&累计签到：天超级会员单次开通12个月以上，赠送连续签到卡3张
关注：7,390贴子：
赏金的冷兵器选择〔仅个人观点〕
目前赏金的近战武器带什么的都有，普遍在天劫里出镜最高的是刺剑与砍刀，那么应该怎么选？我目前个人认为根据你远程武器来选择近战～首先说下思路:刺剑+连***，砍刀+转轮----------------之前有帖子推荐砍刀，我也废了50个绿粉末刷出个比较不错的砍刀～但发现跟连***在一起不太合适...首先连***的优势是耐用，齐射3发，暴击如果堆10%，暴击回弹会特别显著，往往45发的总量能打出60发，甚至更多～～～这也让连***有了见特殊+精英就3连的资本...所以除了罐头外，其实用连***就不需要近战太多的破甲能力～之前就是测试砍刀+连***，结果发现...大多数情况没砍刀什么事...这就尴尬了，除非连***祝福+15发一口气打完还需要破甲，否则砍刀破甲也就开罐头...而用连***，虽然目前在罐头方面弱势些，但是对猛攻打杂却有不错的发挥～众所周知，赏金的压制力一直很诟病，也就是赏金应对猛攻是5个角色里算弱的～～～作为清杂，10%攻速，10%暴击，天赋暴击加速的刺剑可以说是赏金割草的极致了～～～也就是说，当用连***〔我从不q切，只要控制弹药就够了〕尽可能多的包揽特殊+精英时，刺剑只要能处理好猛攻，至少绝大多次天劫不会有什么问题～～～有人说罐头的问题，我之前帖子也说过，虽然转轮对罐头有优势，但是只要不是罐头巡逻队，一般2-3只罐头，杀不死玩家，也无需必须赏金一人包揽～～～还有一点，比如斧混沌或狂战士，通常如果3连后没秒，用刺剑的火铳补刀效果很棒(??｀)ノ?----------------接下来就是砍刀+转轮，为什么砍刀要跟转轮搭配～～～首先就是转轮耐久的问题，转轮爆发一次8发！比如天劫里，经常会出现4-5只装甲鼠，2斧混沌+3狂战士......如果是连***，我可以说用祝福3+12发全秒掉～如果暴击1-2次，连***几乎以很小的代价清一次场！但转轮不行，比如你遇见5只装甲鼠，你用转轮难道也祝福8+32的去打?你不可能用近一半弹药搞这种事情，这个时候你最多只能祝福8+8或8+16，剩下的装甲鼠你的砍刀就可以去收下尾了...而很多时候你打出8+8后也可能没空换弹，这时你也要选择肉搏.--------暴击回弹药，连***3发3发用，18发6次齐射只要暴2次，就赚了几发～经过观察，通常全部弹药打尽后，恢复的弹药能正好有15发+-...转轮耗弹大，支出与回弹比相差悬殊，所以近战武器就必须弥补部分弹药的作用，此时武器能砍装甲自然最好！--------当然，这只是我个人一点想法，不求认同，只是个观点供各位瞎看
虽然砍刀压制力也不差，但是如果赏金要想在清杂上进行强化，还是给用刺剑...首先武器的攻击速度决定天赋暴击+20%攻速的质量～砍刀挥3刀〔第3刀还是下劈〕的时间，刺剑挥5刀～～～同样的时间，刺剑触发暴击加速的概率就会明显优势，一但加速起来，5秒内刺剑基础攻速+30%〔含10%攻速属性〕此时以130%速度挥速的刺剑在5秒内再次暴击几乎是常态，也就是说～当赏金一个人面对猛攻时，只要出第一刀暴击，之后的战斗几乎都处于攻击加速的状态，像正义城塞的坡道，弓区防御，在天劫自己主压一侧杂怪问题不大〔如果有太多盾混沌杂怪过来捣乱就闹心点〕当然，用刺剑的前提是养成什么特殊怪都用连***处理的习惯，因为刺剑很轻，如果跟装甲鼠或斧混沌肉搏纠缠上，短短几秒没无法脱身，这就会将自身的危险暴露出来～必须养成近身的只有杂怪，这样刺剑的优势才能出来～～如果像转轮那样打8发需要时间+空间换弹，或者同时朝自己跑来3-4只特殊时，用刺剑与特殊去肉搏，此时刺剑的劣势就会暴露出来
当然，05版本会变啥样不知道，但目前的版本我觉得这样会更合理|?ω?｀)
现在不就是05版本么
我不管，西瓜刀天下第一我TM砍爆
我沉迷于链锤无法自拔。。。。。横扫加无视盾牌，揍那些带着盾牌的渣渣快的飞起。远程用***，一箭一串小朋友。打法就是BUFF下一个远程蓄力攻击，然后切近战锤怪秒刷BUFF，再切远程蓄力，再切近战刷BUFF.....清怪比其他职业快多了.....没错，比其他所有职业都快。
好喜欢刺剑，但是碰到混沌好无力啊。还有带盾牌的怎么打？链锤用不来呀。
推荐用西瓜刀，主要是因为轻击破甲
发现没人研究***，今天开了一个红的所以研究了一下，穿透能力跟连***差不多，但是比连***多一个打掉盾牌，比较方便对付拿盾的混沌，暴风鼠盾长在手上打不掉，清特感能力是所有远程最强的，符合职业定位，打BOSS会比较乏力，但是配合暴击回弹子弹绝对打不完，我认为的远程排名：连***＞十字弓＞转轮
没人用双***么……我感觉打得特别嗨啊
赏金永远是t1
西瓜刀啊，看起来就充满了社会气息，其实游戏中可以允许带两把冷兵器就好了，每次看到盾牌风暴鼠我就想拿斧子砍他丫的
以上内容都是自己的一些见解与感受～武器是死的，人是活的～根据自己风格来搭配武器，只要知道自己要做什么，不在于很好与最好的区别～～～很多帖子，关于赏金的言论是五花八门，什么都有，也害我浪费了上百个材料～拿所有网上的搭配与风格去试，最后找了套自己习惯的套路罢了～连***在罐头方面不如转轮，但转轮在耐久方面不如连***刺剑在破甲方面不如砍刀，但砍刀在清杂方面不如刺剑你搭配装备，要清楚这套装备的优势与弊端！！！必须清楚自己这套该怎么打能怎么打～～～赏金很容易玩成不伦不类，因为很多赏金都还不清楚自己都能干什么，很多赏金大体方向清楚，但是细到某些局面或情况时，自己有没有这方面能力时，就比较含糊，导致队友觉得你很墨迹～很多人说赏金可有可无，主要很多赏金给队友一个特别模糊的概念，就是看起来你什么都在帮忙，但哪方面都没帮彻底～～～--------比如有法师和速射弓在场，我赏金果断放弃清杂，全程真就抱着***走，要不是有杂怪找我或队友忙不过来或队友屁股有危险，我绝对不上近战～～但你给保证队友在你的掩护下，输出环境相对比较安稳～～～就怕赏金看见杂怪就忍不住羊上冲，等来了特殊怪又想打，但又撤不出身～～～很多很多赏金都这毛病，杂怪想打，特殊想打，罐头想打，boss想打～～～～法师都没那么全能，你赏金乱搞只会全不能，可有可无的存在！
刺剑有一个特殊攻击，默认鼠标侧键，没有侧键去设置改一下键，这个攻击就是用左手的***开一***，远距离没伤害，近距离伤害还是不错的，可以继承祝福射击，关键不费子弹，可以一下轻击开一下***配合刷新被动使用，不过刺剑嘛比砍刀弱了太多
楼主 要这样的装备
这个版本法爷才是爸爸，我满力赏金日常天劫输出大概是法爷的四分之三左右，同样是输出位，但是赏金在天劫主要作用依靠橙齐射***的暴击回复2发弹药来持续清鼠潮和杀精英怪制造伤害，清完鼠潮或者打完boss后只要有小怪可以打基本上触发一次被动白嫖6发弹药，鼠潮试过一个三连发空备弹直接回满，所以弹药量基本不成问题，而且赏金作为一个脆皮我在天劫主要就靠齐射***，右键被动暴击能秒暴风鼠，无被动两发右键也能杀
至于***和***在天劫清理鼠潮实在太弱，而且爆发也很难跟连***的右键连续齐射相提并论，无法发挥赏金的控场能力就失去了玩这个职业的目的，所以个人一般选择砍刀+连***，砍刀用于重击秒杀小怪刷新被动，天劫小怪血量太高刺剑两下终极爆头才能杀一个小怪太拖节奏容易翻水，大部分时间主要输出靠自己生产子弹的连***（就算只剩一发我也刷满给你看
我喜欢用斧头
贴吧热议榜
使用签名档&&
保存至快速回贴