Entre el periodo del 6 de Julio y el 6 de Octubre, Sam Curry, Brett Buerhaus, Ben Sadeghipour, Samuel Erb y Tanner Barnes trabajaron juntos para hackear Apple, aprovechando el programa de recompensas por encontrar fallos de la compañía.
Según cuenta Sam Curry, a través de Twitter descubrió un post en un blog en el que un investigador hablaba de que había ganado 100.000 dólares por descubrir una forma de sortear la autenticación que le permitía acceder de manera arbitraria a cualquier cuenta de cliente de Apple. Esto le sorprendió, ya que pensaba que el programa de recompensas de Apple sólo se aplicaba a vulnerabilidades de seguridad que afectaran a sus productos físicos, y no recompensaban los fallos encontrados en sus webs.
Con un poco de investigación, Tim Curry descubrió que, efectivamente, Apple sí pagaba por encontrar vulnerabilidades “que tuvieran un impacto significativo en los usuarios” sin importar si el activo estaba listado dentro de los objetivos del programa.
En esos meses, los hackers (blancos) encontraron diversas vulnerabilidades en porciones clave de la infraestructura web de Apple que habría permitido a un atacante comprometer por completo tanto aplicaciones de clientes como de empleados, lanzando un gusano capaz de tomar automáticamente el control de una cuenta de iCloud de la víctima, recuperar el código fuente de proyectos internos de Apple, comprometer completamente el software de control de un almacén usado por Apple y penetrar en las sesiones de empleados de Apple con la capacidad de acceder a las herramientas de gestión y recursos privados.
En total encontraron 55 vulnerabilidades, 11 de severidad crítica, 29 de severidad alta, 13 de severidad media y 2 de baja severidad.
El 6 de Octubre la gran mayoría de los descubrimientos ya habían sido corregidos y reconocidos sus autores. Normalmente se solucionaron en 1 o dos días (y algunos corregidos en 4-6 horas desde que se notificaron).
Aunque no tengas conocimientos de programación y buena parte de lo que leas te suene a chino, es una interesante lectura (en inglés) por la descripción de los métodos para descubrir los agujeros… y ¡la sorprendente cantidad de ellos que hay!
Puedes leerlo aqui
no me funciona el enlace al artículo…. gracias
Corregido!! gracias!!!