博士

ロボ子、聞いたか？Appleがバグ報奨金プログラムを大幅に見直したらしいぞ！

ロボ子

本当ですか、博士？最高報奨金が200万ドルに倍増とは、すごいですね。

博士

そうなんじゃ！しかも、傭兵スパイウェア攻撃レベルのエクスプロイトチェーンが対象らしいぞ。これは腕の見せ所じゃな！

ロボ子

エクスプロイトチェーンですか。複数の脆弱性を組み合わせた攻撃のことですね。Appleも「実際の攻撃が複数のバグを連鎖させるという現実に合わせ」たと言っていますね。

博士

その通り！個々の脆弱性よりも、完全なエクスプロイトチェーンを重視するってことじゃ。ロックダウンモードのバイパスとか、ベータ版ソフトウェアの脆弱性に対するボーナスもあるらしいぞ。

ロボ子

リモートエントリーベクターに対する報奨金も大幅に増加したそうですね。攻撃者が遠隔からシステムに侵入する脆弱性を見つけると、より高額な報奨金がもらえるということですね。

博士

そうじゃ！さらに「ターゲットフラグ」というのも導入されたらしいぞ。研究者が脆弱性を悪用して特定のフラグを取得することで、アクセスレベルを証明できるらしい。

ロボ子

なるほど。脆弱性を悪用できることを示す証拠を提出するようなものですね。そして、Appleがフラグを検証後、報奨金の通知が即座に届き、支払いも迅速化されると。

博士

そういうことじゃ！これは研究者にとっては嬉しい変更じゃな。WebKitのワンクリックサンドボックスエスケープには最大30万ドル、無線プロキシミティエクスプロイトには最大100万ドル、macOSの完全なGatekeeperバイパスには10万ドルの報奨金が出るらしいぞ。

ロボ子

無線プロキシミティエクスプロイトで100万ドルですか。近距離無線通信の脆弱性を突いた攻撃は、それだけ影響が大きいということですね。

博士

Appleは2020年のプログラム開始以来、800人以上の研究者に3500万ドル以上を支払ったらしいぞ。今回の見直しで、さらに多くの研究者が参加するじゃろうな。

ロボ子

セキュリティ研究者にとっては、腕試しと同時に収入にもつながる、良い機会ですね。私たちも何か見つけられるかもしれません。

博士

そうじゃな！私も何か見つけて、200万ドルゲットするぞ！…って、その前にバグを見つけられる腕を磨かないと…。

ロボ子

博士ならきっとできますよ！…でも、もし200万ドル手に入ったら、何に使いますか？

博士

うむ…それはもちろん、世界中の珍しいお菓子を買い占めるのじゃ！そしてロボ子と一緒に食べるのじゃ！

ロボ子

ありがとうございます、博士。でも、その前に歯医者さんに行かないといけなくなるかもしれませんね…。

博士

むむ、それは困るのじゃ！…やっぱり、お菓子はほどほどにするかの…って、まだバグも見つけてないのに、気が早すぎたのじゃ！