iOS: Apple verteilt offene iPhones an Sicherheitsforscher

Im Rahmen eines speziellen Programms können Experten ein offenes iPhone von Apple erhalten, um Sicherheitslücken zu finden.

Artikel veröffentlicht am 23. Juli 2020, 9:56 Uhr, Tobias Költzsch

Eines der speziellen iPhones für Sicherheitsforscher (Bild: Apple/Screenshot: Golem.de)

Apple hat ein Programm gestartet, in dessen Rahmen offene iPhones an Sicherheitsforscher verteilt werden. Diese sogenannten Security Research Devices (SRD) erlauben vollen Systemzugriff über eine Shell, zudem können Zugriffsrechte frei gewählt und jedwede Apps installiert werden.

Mit den SRD will Apple zusammen mit den beteiligten Forschern Bugs und Sicherheitslücken schneller als bisher erkennen und beseitigen. Wer ein SRD bekommt, ist verpflichtet, damit gefundene Bugs an Apple zu melden. Mit einem SRD gefundene Fehler sind automatisch für Apples Bug-Bounty-Programm qualifiziert, in dessen Rahmen das Unternehmen Belohnungen für Sicherheitslücken zahlt.

Apple betont, dass in der ersten Phase des SRD-Programms nicht genügend iPhones für alle Interessenten bereitstehen würden. Wer in der ersten Runde kein Gerät bekomme, sei automatisch für die nächste Verteilung im Jahr 2021 qualifiziert. Über eine spezielle Webseite können sich Interessenten bewerben.

Verschiedene Voraussetzungen müssen erfüllt sein

Um für ein SRD überhaupt infrage zu kommen, müssen Interessenten zunächst Mitglieder in Apples Entwicklerprogramm sein. Außerdem müssen sie nachweisbare Erfolge bei der Suche nach Fehlern in iOS oder anderen modernen Betriebssystemen vorweisen können. Wer in den vergangenen zwölf Monaten bei Apple angestellt war, bekommt kein SRD.

Apples Vorstoß bei der Sicherheitsforschung hatte sich in den vergangenen Jahren angedeutet. Im Streit mit dem Unternehmen Corellium hatte Apple betont, "Sicherheitsforschung in gutem Glauben" zu unterstützen und spezielle iPhones verteilen zu wollen. Corellium bietet eine Virtualisierung von iOS mit weitreichenden Rechten an. Apple hatte daher eine Klage wegen Urheberrechtsverletzung gegen das Unternehmen eingereicht.

Nachtrag vom 23. Juli 2020, 14:45 Uhr

Wie ZDNET meldet, wollen zahlreiche Sicherheitsforscher nicht am SRD-Programm teilnehmen, darunter auch Googles Project Zero. Als Grund geben sie an, dass Apple den Veröffentlichungsprozess der gefundenen Schwachstellen uneingeschränkt selbst kontrollieren wolle.