對(duì)蘋果SRD計(jì)劃規(guī)則不滿 谷歌等不再參與iPhone的SRD安全計(jì)劃

　　由于蘋果嚴(yán)苛的漏洞披露規(guī)則，包括谷歌Project Zero在內(nèi)的iPhone漏洞研究領(lǐng)域的部分大牌團(tuán)隊(duì)和個(gè)人，都表示將不參與蘋果新公布的SRD安全計(jì)劃。

　　這些團(tuán)隊(duì)和個(gè)人包括谷歌Project Zero、ZecOps、Axi0mX以及移動(dòng)安全公司Guardian CEO威爾·斯特拉法赫（Will Strafach）。

　　蘋果的SRD計(jì)劃在手機(jī)廠商中可謂獨(dú)一無(wú)二。根據(jù)這一計(jì)劃，蘋果將向安全研究人員提供特制版iPhone，方便研究人員發(fā)現(xiàn)其中的漏洞。蘋果2019年12月份正式公布了SRD計(jì)劃。

　　雖然安全社區(qū)去年對(duì)蘋果公布SRD計(jì)劃歡呼雀躍，認(rèn)為這是蘋果在正確道路上邁出的第一步，但他們對(duì)蘋果今天公布的SRD計(jì)劃規(guī)則卻很是不滿。

　　根據(jù)安全社區(qū)在社交媒體上的吐槽，讓大多數(shù)安全研究人員不滿的是下述條款：報(bào)告影響蘋果產(chǎn)品的安全漏洞后，蘋果將確定安全研究人員能夠公開披露該漏洞的日期（通常情況下，蘋果會(huì)在當(dāng)天發(fā)布修正漏洞的補(bǔ)丁軟件）。蘋果將盡可能早地修正每個(gè)漏洞。在規(guī)定的日期前，安全研究人員不得與其他人或機(jī)構(gòu)討論漏洞。

　　這一條款使得蘋果能夠讓安全研究人員“閉嘴”，也使得蘋果能夠完全控制漏洞的披露過(guò)程。

　　許多安全研究人員擔(dān)心，蘋果會(huì)濫用這一條款，推遲發(fā)布重要安全補(bǔ)丁的時(shí)間。也有人擔(dān)心蘋果會(huì)利用這一條款“掩蓋”他們的研究，甚至阻止他們公開自己的工作。

　　谷歌Project Zero團(tuán)隊(duì)負(fù)責(zé)人本·霍克斯（Ben Hawkers）首先注意到了這一條款及其可能產(chǎn)生的影響，“鑒于在漏洞披露規(guī)則方面的限制，我們可能無(wú)法參與蘋果SRD計(jì)劃?！?/p>

　　ZecOps通過(guò)Twitter宣布不參與蘋果SRD計(jì)劃

　　網(wǎng)絡(luò)安全廠商ZecOps也在Twitter上宣布將不參與SRD計(jì)劃，繼續(xù)以傳統(tǒng)方法研究iPhone安全問(wèn)題。

　　對(duì)于了解蘋果安全計(jì)劃歷史的人來(lái)說(shuō)，對(duì)蘋果可能濫用SRD計(jì)劃規(guī)則掩飾重要的iOS漏洞和安全研究是合乎情理的。之前，蘋果多次被指責(zé)存在這樣的行為。

　　在4月份發(fā)布的多條推文中，macOS和iOS開發(fā)人員杰夫·約翰遜（Jeff Johnson）指責(zé)蘋果對(duì)其安全研究工作不夠重視。