이 프로그램에 가입해 기기를 연구용으로 쓰면, 서드파티 앱의 버그를 제외한 보안 버그는 계약상 Apple에만 보고해야 함. 취약점 공개와 그에 따른 부정적 보도를 피하려는 꽤 교묘한 수단으로 보임.
보안 연구자들이 늘 원하던 것을 주는 대가로 침묵을 얻는 셈이며, 달리 표현하면 뇌물임.
이런 부정적 추론을 하기 전에 프로그램이 생긴 배경을 고려해야 함. iOS 공격 코드가 건당 수백만 달러에 거래되는 반면, Apple의 태도 때문에 선의의 보안 연구자들은 연구조차 할 수 없다는 거센 비판이 있었음. 이를 달래려고 만든 프로그램이니, 취약점을 보고하고 최고가 입찰자에게 팔지 못하도록 요구하는 것은 타당함.
페이지에는 Apple에 보고할 의무만 나와 있고, 내가 놓친 게 아니라면 추가로 공개하는 것을 금지한다는 내용은 없음.
취약점 공개를 막으려는 게 아니라, 악용되기 전에 수정하고 고객에게 패치를 배포할 수 있도록 하는 장치임.
발견한 공격 기법을 공유할 생각이 없다면 기기를 주지 않겠다는 것 아닐까? Apple이 악의적 해커에게 연구용 기기를 선물해야 한다는 기대인가?
뇌물은 권력이나 권한이 있는 사람에게 쓰는 개념임. 취약점 공개를 몰래 막는 수단이 아니라, 양측이 동의한 책임 있는 취약점 공개 협약임.
스스로 문제를 만들고는 영웅처럼 해결에 나서는 셈임. Apple이 모든 iPhone의 소유권은 자신들에게 있고 사용자는 화면을 두드리기만 하면 된다는 태도를 고집하지 않았다면, 애초에 이런 프로그램은 필요 없었을 것임.
실제로 소유한 iPhone에서 부트로더 잠금 해제와 SWD 재활성화를 하고 원하는 작업을 할 수 있다면, 이런 제한적인 프로그램은 전혀 필요 없음.
그러면 가장 안전한 소비자용 휴대전화가 아니게 되지 않을까?
잠금 해제는 보안과 정반대임. 대체 어떤 문제를 해결하려는 것인가?
iPhone은 신용카드 결제와 대금 수취를 지원함. 결제 인프라는 결제를 처리하는 기기에 변조 방지 기능을 요구함.
이런 이유로 지금 쓰는 MacBook이 내 마지막 MacBook이 될 것이며, Linux로 돌아갈 예정임. M 시리즈 칩이 아무리 뛰어나도 사용자를 사사건건 통제하는 소프트웨어를 하드웨어로 만회할 수는 없음. Apple 기기가 내게 무엇을 해야 하는지 지시하는 데 지쳤고, 원래는 반대여야 함.
연구자에게 모든 연구에 대한 비밀유지계약을 미리 체결시키려는 뻔한 함정으로 보이지 않는가? 여기에 넘어가지 말고, 적절한 공개 유예 기간이 지나면 모든 내용을 공개해야 함.
연구에 필요한 기본 도구인 잠금 해제 iPhone을 소유도 아닌 대여 형태로 제공하면서, 그걸 보상 삼아 무급 노동을 기대하는 것인가? 추가로 받을 수 있다는 것도 어쩌면 무료 크레딧 정도인가? 요즘은 정말 헐값에도 일하려는 듯함.
링크된 페이지를 읽어봤는가? SRD로 발견한 취약점은 Apple Security Bounty 심사 대상에 자동으로 포함되며, 프리뷰·베타 소프트웨어에 대한 추가 보상도 적용됨. 이 기기로 찾은 취약점도 신고하면 원래 받을 수 있던 포상금을 받을 수 있음.
SRD의 취지는 원래라면 접근하기 위해 전체 공격 체인을 만들어야 했을 버그를 곧바로 연구할 수 있게 하는 것임.
매년 신청 기간이 열리니 그때마다 누군가 제출하는 듯함. 이번에는 신청 마감이 임박해서 도움이 될 사람이 있을까 싶어 올렸음.
이스라엘이 어떤 Apple 기기든 해킹할 수 있다는 것도 여기에 포함되는가?
이스라엘은 이 분야에 막대한 투자를 했으니 일반적인 휴대전화라면 무엇이든 해킹할 수 있을 듯함. 늘 책임 추궁에서 보호받으므로 실행을 두려워할 이유도 없음.
어디서 구매할 수 있는가?
기기를 빌려 취약점을 찾되 Apple 이외에는 보고하지 못하고, 대부분 무급으로 일하라는 것인가? 누가 왜 그렇게 하겠는가?
내가 취약점을 찾으면 예의상 업체에 수정할 시간을 준 뒤 내 연구 결과를 직접 공개할 것임. 결과는 내 것이고, 누구도 공짜로 일하지 않으니 Apple은 현실을 직시해야 함.