Американская корпорация Apple сообщила о предоставлении доступа к виртуальной исследовательской среде (VRE) для тестирования безопасности системы Private Cloud Compute (PCC). Разработчики также открыли исходный код нескольких важных компонентов, чтобы их могли проанализировать эксперты по информационной безопасности в целях подтверждения надёжности архитектуры и её соответствия регламентам конфиденциальности и безопасности.
Private Cloud Compute — облачная система обработки данных с применением технологии искусственного интеллекта, обеспечивающая их защиту с использованием сквозного шифрования. Наличие подобного подхода гарантирует, что информация, передаваемая с гаджетов Apple в PCC, является полностью недоступной для компании, и доступ к ней имеет только пользователь.
Прежде доступ к PCC ограничивался для некоторых экспертов и аудиторов, чтобы они имели возможность выполнить проверку её соответствия заявленным стандартам информационной безопасности и конфиденциальности. Теперь же все заинтересованные аналитики имеют возможность провести исследование в этой системе и проверить её на соответствие параметрам безопасности.
Также компания Apple вместе с VRE представила руководство по безопасности PCC, в котором описана архитектура системы и её основные компоненты. С помощью этой виртуальной среды можно запустить узел PCC в виртуальной машине, изучить программное обеспечение и обнаружить уязвимости.
В Apple также заявили о расширении программы денежных вознаграждений за выявленные уязвимости. В программу были добавлены новые категории для Private Cloud Compute. На сегодняшний день максимальный размер выплаты за обнаруженную критическую уязвимость составляет 1 млн долларов (если будет выявлена уязвимость с удалённым выполнением кода с привилегиями на основе данных пользовательских запросов). За менее критичные уязвимости можно получить от 50 тыс. до 250 тыс. долларов.
Представители корпорации Apple указали на то, что принимают на рассмотрение любые уязвимости, которые потенциально могут значительно повлиять на безопасность Private Cloud Compute, даже в тех ситуациях, когда выявленные ошибки не соответствуют указанным категориям в описании программы Bug Bounty.
Ещё по теме: