苹果成立全新安全研究网站

苹果上周设立了全新的安全研究网站(Apple Security Research),它是苹果的安全研究中枢,可供安全研究人员提报安全漏洞,申请苹果安全研究设备,也提供了苹果平台的安全指南与技术支持,以及披露与说明苹果最新安全机制及演进。

苹果表示,该公司自2016年就开始小规模地邀请研究人员参与苹果的漏洞挖掘奖励项目(Apple Security Bounty),并于2019年对外开放,从2019年迄今,总计已颁发近2,000万美元的奖金,在产品类别的平均支出为4万美元,并有20个安全漏洞的奖励金额超过10万美元。

此外,即日起苹果将开放研究人员申请加入新一轮的安全研究设备(Security Research Device,SRD)计划,获准加入的研究人员将可取得一支特别配置的iPhone,不必绕过安全功能就能展开iOS的安全研究,可执行任何工具,选择所想要的权限,甚至是定制化核心,同时必须将所发现的安全漏洞提交给苹果或适当的第三方,该计划的申请截止日为11月30日。SRD计划支持包括美国、新加坡、韩国与日本等数十个国家,但并未包括中国。

苹果还罕见地对外分享应用于Mac、iPhone与iPad上的XNU核心技术,主要是XNU内存的安全升级,首个主题为内存分配器kalloc_type。

苹果指出,该公司的基本策略是设计一个可让多数锁定内存毁损漏洞的攻击都变得不可靠的分配器,此举将可限制许多内存bug所能造成的影响。在该技术文章中,苹果解释了打造kalloc_type的动机,分析其特色与弱点,期望对于研发防御性缓解措施的安全研究人员有所帮助。