Google’ın güvenlik araştırmacılarından birisi olan Ian Beer, iOS’de keşfettiği açıklar için Apple‘ın 2,5 milyon dolar bağışlaması gerektiğini söyledi.
Facebook, Google, Microsoft ve yazılımla yakından alakalı olan diğer büyük şirketler, sistemlerinde veya hizmetlerinde herhangi bir güvenlik açığı veya sorun bulunması durumunda durumu bildiren kişiye ödeme yapıyor. Güvenlik sorunlarını en aza indirgemek adına başlatılan bu uygulama, büyük şirketlerin ödül miktarını 100 bin dolar gibi yüksek fiyatlara taşımasıyla oldukça ses getirmeye başladı. Google’da güvenlik araştırmacısı olarak çalışan Ian Beer de güvenlik açığı bulduğunu iddia eden ve ödül bekleyen isimlerden birisi.
Beer’ı farklı kılan şey ise, Apple’a ait iOS platformunda güvenlik açıkları bulduğunu ve şirketin kendisine herhangi bir para ödülü sunmadığını iddia etmesi. Araştırmacı, şirketin çalışma şeklinden dolayı böyle bir sorun yaşamış.
Ödül programları genellikle hiçbir kısıtlamaya sahip değil. Yani sistemde açık bulan kişi kim olursa olsun bulduğu açığı raporladığı sürece şirketlerden farklı miktarlarda ödeme alıyor. Ancak Apple’ın sistemi bundan biraz daha farklı işliyor. Şirket, güvenlik açığı aramak isteyen yazılımcıların ilk olarak kendisinden bir davetiye talep etmesini istiyor. Bu davetiye şirket ve yazılımcı arasında bir anlaşma görevi görüyor ve açık bulunduğu takdirde yazılımcıya ödemesi yapılıyor. Beer, herhangi bir davetiye olmadan açığı bulmuş ve davetiye fark etmeksizin para almaya hakkı olduğunu düşünüyor.
Ödül programı güvenlik açığının ciddiye seviyesine göre 200 bin dolara kadar ödeme yapıyor ve Beer 1,23 milyon dolar değerinde açıklar bulduğunu iddia ediyor. Şirket, güvenlik açığı bulmayı başaran kişilere parayı alma veya kazandıkları miktarın iki katını yardım kuruluşlarına bağışlama hakkı tanıyor. Beer da davetiyesi olmamasına rağmen bildirdiği güvenlik açıklarının kabul görmesini, ödül parasının da ikiye katlanarak bağışlanmasını talep ediyor.
Her iki tarafın da iyi niyetli olduğunu söylemek mümkün, ancak Apple’ın ödeme yapmama konusunda ısrarcı davranması ve Beer’ın da olayı basına taşıması işleri zor bir duruma getirdi. Umuyoruz ki şirket bağış yapmayı kabul eder ve Beer da bir sonraki sefere şirketten davetiye talep eder. Bazı yazılımcılar, buldukları güvenlik açıklarını şirket ile paylaşmak yerine devlete veya başka şirketlere satıyor. Bu nedenle böylesine yetenekli kişilerin ‘küstürülmesi’ hiçbir şirket açısından iyi olmaz.