Apple создала виртуальную исследовательскую среду, чтобы предоставить общественности доступ к тестированию безопасности своей системы Private Cloud Compute, и опубликовала исходный код некоторых «ключевых компонентов», чтобы помочь исследователям проанализировать функции конфиденциальности и безопасности в архитектуре.
Компания также стремится повысить уровень безопасности системы и расширила свою программу security bounty, которая включает вознаграждение до 1 миллиона долларов за уязвимости, которые могут поставить под угрозу «фундаментальные гарантии безопасности и конфиденциальности PCC».
Private Cloud Compute (PCC) - это облачная интеллектуальная система для комплексной искусственной обработки данных с пользовательских устройств таким образом, чтобы не нарушать конфиденциальность.
Это достигается за счет сквозного шифрования, благодаря которому персональные данные с устройств Apple, отправленные в PCC, доступны только пользователю, и даже Apple не может их просматривать.
Вскоре после того, как Apple анонсировала PCC, компания предоставила ранний доступ избранным исследователям и аудиторам в области безопасности, чтобы они могли проверить обещания системы в отношении конфиденциальности и безопасности.
Сегодня в своем блоге Apple объявила, что доступ к PCC теперь открыт, и любой любопытный может посмотреть, как она работает, и проверить, соответствует ли она обещанным требованиям.
Компания выложила в открытый доступ руководство по безопасности Private Cloud Compute, которое объясняет архитектуру и технические детали компонентов и принцип их работы.
Apple также предоставляет виртуальную исследовательскую среду (Virtual Research Environment, VRE), которая локально копирует облачную интеллектуальную систему и позволяет осмотреть ее, а также проверить безопасность и найти проблемы.
«VRE запускает программное обеспечение узла PCC на виртуальной машине с незначительными изменениями. Программное обеспечение пользовательского пространства работает так же, как и на узле PCC, а процесс загрузки и ядро адаптированы для виртуализации», - поясняет Apple и делится документацией по настройке виртуальной исследовательской среды на своем устройстве.
VRE присутствует в macOS Sequia 15.1 Developer Preview, и для ее работы необходимо устройство с кремниевым экраном Apple и не менее 16 ГБ объединенной памяти.
Инструменты, доступные в виртуальной среде, позволяют загружать релиз PCC в изолированной среде, модифицировать и отлаживать программное обеспечение PCC для более тщательной проверки, а также делать выводы на основе демонстрационных моделей.
Чтобы облегчить задачу исследователям, Apple решила опубликовать исходный код некоторых компонентов PCC, реализующих требования безопасности и конфиденциальности:
Apple также поощряет исследования с помощью новых категорий PCC в своей программе security bounty за случайное раскрытие данных, внешнюю компрометацию по запросу пользователя, а также физический или внутренний доступ.
Наибольшее вознаграждение составляет 1 миллион долларов за удаленную атаку на данные запроса, которая позволяет добиться удаленного выполнения кода с произвольными правами.
За демонстрацию способа получения доступа к данным запроса пользователя или конфиденциальной информации исследователь может получить вознаграждение в размере 250 000 долларов.
За демонстрацию атаки того же типа, но из сети с повышенными привилегиями, полагается выплата от 50 000 до 150 000 долларов.
Однако Apple заявляет, что рассматривает для вознаграждения любые проблемы, которые оказывают значительное влияние на PCC, даже если они не входят в категории программы bug bounty.
Компания считает, что ее «Private Cloud Compute - самая совершенная архитектура безопасности, когда-либо развернутая для облачных вычислений ИИ в масштабе», но все еще надеется усовершенствовать ее в плане безопасности и конфиденциальности с помощью исследователей.
Операция BlackBasta, связанная с вымогательством, перенесла свои атаки социальной инженерии в Microsoft Teams, выдавая себя за корпоративную службу поддержки, которая связывается с сотрудниками, чтобы помочь им справиться с продолжающейся спам-атакой.
Компания Amazon конфисковала домены, использовавшиеся российской хакерской группой APT29 в целевых атаках на правительственные и военные организации для кражи учетных данных и информации Windows с помощью вредоносных файлов подключения к протоколу удаленного рабочего стола.
Платформа мессенджера WhatsApp представила Identity Proof Linked Storage (IPLS) - новую систему хранения данных с сохранением конфиденциальности, предназначенную для управления контактами.