Apple zahlt Ihnen bis zu 1 Million Dollar, wenn Sie in die Server von Apple Intelligence eindringen können.

Das Bug-Bounty-Programm des Unternehmens dient dazu, die Sicherheit der Server zu testen, die Anfragen an Apple Intelligence verarbeiten.

Glauben Sie, Sie könnten in einen Apple-Server einbrechen? Falls ja, könnten Sie dank eines neuen Bug-Bounty-Programms bis zu 1 Million Dollar gewinnen. Am Donnerstag stellte Apple eine Herausforderung vor, mit der die Sicherheit der Server getestet werden soll, die eine wichtige Rolle im „Apple Intelligence“-Dienst spielen werden.

Während Apple sich auf den offiziellen Start seines künstlichen Intelligenz-gestützten Dienstes nächste Woche vorbereitet, konzentriert sich das Unternehmen natürlich auf die Sicherheit. Obwohl der Großteil der Verarbeitung der Anfragen an Apple Intelligence auf dem eigenen Gerät stattfindet, müssen bestimmte Anfragen von Apples Servern bearbeitet werden. Diese Server, die gemeinsam als „Private Cloud Compute“ (PCC) bezeichnet werden, müssen gegen jede Art von Cyberangriff oder Hacking gesichert werden, um Datenmissbrauch und Sicherheitsverletzungen zu verhindern.

Apple hat bereits proaktiv Maßnahmen ergriffen, um PCC zu schützen. Nach der ursprünglichen Ankündigung von Apple Intelligence lud das Unternehmen Sicherheits- und Datenschutzforscher ein, die End-to-End-Sicherheit sowie den Datenschutz der Server zu überprüfen. Apple gewährte bestimmten Forschern und Auditoren sogar Zugang zu einer virtuellen Forschungsumgebung sowie weiteren Ressourcen, um die Sicherheit von PCC testen zu können. Nun öffnet das Unternehmen die Tür für alle, die versuchen wollen, in seine Serverlandschaft einzudringen.

Um den Nutzern einen guten Start zu ermöglichen, hat Apple einen Sicherheitsleitfaden für Private Cloud Compute veröffentlicht. Dieser Leitfaden erläutert, wie Private Cloud Compute funktioniert - insbesondere wie Anfragen authentifiziert werden, wie die in Apples Rechenzentren laufende Software überprüft wird sowie wie die Datenschutz- und Sicherheitsmechanismen von Private Cloud Compute dazu ausgelegt sind, verschiedene Arten von Cyberangriffen abzuwehren.

Die Virtuelle Forschungsumgebung (VRE) steht auch allen offen, die an der Bug-Bounty-Aktion teilnehmen möchten. Auf einem Mac läuft die VRE und ermöglicht es, die Softwareversionen des PCC zu untersuchen, die Dateien jeder Version herunterzuladen, eine Version in einer virtuellen Umgebung zu starten sowie die PCC-Software näher zu analysieren. Apple hat außerdem den Quellcode bestimmter wichtiger Komponenten des PCC veröffentlicht; dieser ist auf GitHub abrufbar.

Und wie sieht es nun mit der Bug-Bounty aus? Das Programm ist dafür konzipiert, Schwachstellen in drei Hauptbereichen aufzudecken:

• Unbeabsichtigte Datenweitergabe - Schwachstellen, die dazu führen, dass Daten aufgrund von Konfigurationsfehlern im PCC oder Problemen im Systemdesign preisgegeben werden.
• Externe Kompromittierung durch Benutzeranfragen - Schwachstellen, die es Angreifern ermöglichen, Benutzeranfragen auszunutzen, um unbefugten Zugriff auf das PCC zu erlangen.
• Physischer oder interner Zugriff - Schwachstellen, bei denen der Zugriff auf interne Schnittstellen des PCC es jemandem ermöglicht, das System zu kompromittieren.

Im Einzelnen sind dies die Beträge, die Apple für verschiedene Arten von Hacks und Entdeckungen zahlen wird:

• Unbeabsichtigte oder unerwartete Offenlegung von Daten aufgrund von Implementierungs- oder Konfigurationsproblemen - 50.000 USD
• Möglichkeit, Code auszuführen, der nicht zertifiziert wurde - 100.000 Dollar.
• Zugriff auf die Anfragedaten eines Nutzers oder andere sensible Nutzerdaten außerhalb der Vertrauensgrenze - also des Bereichs, in dem sich das Vertrauensniveau aufgrund der sensiblen Natur der erfassten Daten ändert - 150.000 $.
• Zugriff auf die Anfragedaten eines Nutzers oder sensible Informationen zu den Anfragen des Nutzers außerhalb der Vertrauensgrenze — 250.000 $.
• Willkürliche Ausführung von Code ohne Erlaubnis oder Wissen des Nutzers mit beliebigen Berechtigungen — 1.000.000 $.

Apple verspricht jedoch, in Betracht zu ziehen, eine Belohnung für jedes Sicherheitsproblem zu zahlen, das erhebliche Auswirkungen auf PCC hat - auch wenn dieses Problem nicht in eine der veröffentlichten Kategorien passt. Dabei bewertet das Unternehmen Ihren Bericht anhand der Qualität der Darstellung, der Nachweise dafür, welche Schwachstellen ausgenutzt werden können, sowie der Auswirkungen auf die Nutzer. Weitere Informationen zum Bug-Bounty-Programm von Apple sowie dazu, wie Sie Ihre eigenen Forschungsergebnisse einreichen können, finden Sie auf der Apple Security Bounty-Seite.

„Wir hoffen, dass Sie mit unserem Sicherheitsleitfaden tiefer in das Design von PCC eintauchen, den Code selbst mithilfe der virtuellen Forschungsumgebung untersuchen und etwaige Probleme über das Apple Security Bounty-Programm melden“, sagte Apple in seinem Beitrag. „Wir sind der Überzeugung, dass Private Cloud Compute die fortschrittlichste Sicherheitsarchitektur ist, die jemals für skalierbare Cloud-KI-Verarbeitung eingesetzt wurde. Wir freuen uns darauf, mit der Forschungsgemeinschaft zusammenzuarbeiten, um das Vertrauen in das System zu stärken und es im Laufe der Zeit noch sicherer und datenschutzfreundlicher zu machen.“