Malgré l’absence de récompense, le chercheur en sécurité offre les clés du bug Keychain à Apple
Début février, nous évoquions la trouvaille d’un chercheur allemand en sécurité qui avait déniché une faille importante du Keychain sur Mac, ou gestionnaire de mots de passe. Il n’avait alors pas l’intention de la divulguer à Apple, faute de récompense.
En effet, il y a bien un programme chez Apple qui rémunère chaque bug rapporté par une certaine somme d’argent, mais cela concerne uniquement iOS et pas macOS. Ce chercheur a toutefois décidé de révéler la faille aux équipes d’Apple.
Linus Henze, le chercheur en question, avait découvert une faille du gestionnaire de mots de passe sur Mac, ou KeyChain. En utilisant une app, il est possible d’exploiter cette faille « KeySteal ». Le pirate peut alors aspirer les données de login/mot de passe stockées sur le KeyChain.
Il avait contacté les équipes en charge de la sécurité informatique chez Apple. Mais il refusait de divulguer cette faille, car le programme de “bug bounty” d’Apple ne récompense pas les failles macOS.
Il avait ensuite promis d’envoyer les détails de cette faille aux équipes d’Apple, en échange d’une déclaration officielle sur la question suivante : pourquoi Apple n’étend pas son programme de chasse aux bugs au système macOS ?
Il n’a cependant pas reçu de réponse d’Apple concernant cette question. Il a finalement décidé de quand même communiquer cette faille à Apple, pour protéger les utilisateurs de macOS avec une prochaine version corrective du système.
On espère que ce coup de projecteur sur l’absence de bug bounty pour macOS va faire bouger les choses du côté de Cupertino, pour ne pas que les utilisateurs de macOS se sentent moins bien considérés que les utilisateurs d’iOS.
