2019年，蘋果向公眾開放了安全賞金計劃，以鼓勵研究人員向官方提交影響iOS、iPadOS、macOS、tvOS或 watchOS的安全漏洞。 通過高達百萬美元的獎金，蘋果希望此舉能夠確保自家軟體平台的安全性。 即便如此，還是有不少安全研究人員吐槽官方執行不力，比如近日 illusionofchaos 分享的一段”讓人感到沮喪”的經歷。

（圖自：Apple Security Bounty，via MacRumors）

Kosta Eleftheriou 在一篇博客文章中指出：這位不願透露姓名的安全研究人員稱，他們在今年 3~5 月期間向蘋果上報了四個零日漏洞。

但除了已在 iOS 14.7 中修復的一個漏洞，其餘三個仍存在於最新的 iOS 15.0 中。 官方的這一敷衍態度，著實讓他們感到信任喪失。

更讓人無語的是，蘋果並未在安全內容頁面上列出，而是選擇了掩蓋其在iOS 14.7中修復的那個漏洞。

在與該公司對質時，對方曾表達歉意，同時保證會處理這方面的問題，並承諾在下一版更新時列出。

然而自那以後，該公司已經連續推送了三個更新，但每一次都食言了。

上周，忍無可忍的安全研究人員向蘋果發出了警告 —— 如果再不給出正面回應，他們將公開披露相關安全漏洞 —— 結果引發了許多人的共鳴。

據悉，illusionofchaos 曝光的其中一個零日漏洞與遊戲中心有關，可知其允許從 App Store 安裝的任意應用訪問某些用戶數據：

（1）Apple ID 電子郵件和與之關聯的全名;

（2）允許代表使用者訪問 *.apple.com 上至少一個端點的 Apple ID 身份驗證令牌;

（3）對 Core Duet 資料庫的完整檔案系統讀取訪問許可權，涵蓋郵件、簡訊、iMessage 消息、第三方 IM 的聯繫人清單、所有交互的元數據（包括時間戳和統計數據），以及 URL 和文本等部分附件。

（4）對快速撥號資料庫和通訊錄資料庫的完整檔系統讀取訪問許可權，包括聯繫人圖片和其它元數據，比如創建和修改日期（似乎已在iOS 15 上悄然修復）。

最後，博客文章中還詳細介紹了 iOS 15 中仍然存在的另外兩個零日漏洞，以及 iOS 14.7 中修補的漏洞（Habr.com傳送門）。

遺憾的是，截止發稿時，蘋果仍未就此事給予公開回應。