苹果有很多钱。

在大多数情况下，按市值计算，它是世界上最大的公司，而且银行里已经有惊人数量的资金。截至今年第一季度末，该公司拥有550亿美元的现金，以及1780亿美元的长期证券，如果需要的话，这些证券可以变现。由于核心业务已经处于巅峰时期，没有明显的地方可以投入这些资金，这就是为什么蒂姆•库克（Tim Cook）很容易将资金投入健康追踪或弗兰克•海洋专辑等投机性领域的原因。

一个漏洞交易员最近出价100万美元收购一个类似的漏洞

因此，从外部来看，这家公司在安全方面的开支超支令人惊讶。苹果最近推出的bug赏金计划最高限额为20万美元，只是在黑市上经常用于iOS漏洞攻击的数百万美元的一小部分。利用漏洞的交易者为同样的漏洞付出了更高的代价，尽管苹果在银行持有数十亿美元的资金。

这些担忧尤其重要，因为昨天，在野外发现了其中一个漏洞。一家名为NSOGroup的以色列公司的间谍软件被发现，目标是阿拉伯联合酋长国一位名叫艾哈迈德曼苏尔的人权活动家。该间谍软件能够远程越狱一部iPhone，这是以前从未见过的活跃使用的功能。这些漏洞是在昨天的iOS更新中修补的（你真的应该安装），但它引发了新的问题：iphone对远程攻击者的脆弱程度如何。

我们仍然不知道该公司是如何得知这些漏洞的，但他们很有可能在黑市上购买了这些漏洞，最近一位交易员出价100万美元收购了一个类似的漏洞。

这让一些批评人士提出了一个显而易见的问题：苹果为什么不支付更多的费用？并不是说公司买不起。

对于行业老手来说，这是一个令人惊讶的问题。几十年来，人们一直认为攻击者的花费总是超过防御者。大多数臭虫赏金都反映了这一点。谷歌为安卓系统提供的相当于bug的奖金约为苹果支出的四分之一，最高达到5万美元。Chrome的支付方式更具攻击性，任何在Chromebook或Chromebox上以访客模式植入持久性恶意软件的方式都将获得10万美元的长期奖励。微软拥有业内最具攻击性的漏洞悬赏计划之一，但去年的奖金仍高达12.5万美元。

很难说在一个剥削性的市场上，同等的价格会是多少，但几乎可以肯定的是，它们会更高，这是许多参与企业奖金的人都坦言的事实。关键是为做正确的事情提供适度的奖励，而不是超过黑市。

间谍软件公司支付最高的美元，以确保一个错误保持未修补

更激进的策略-匹配黑市价格-在很大程度上被视为不可行的实际原因。苹果的业务规模远大于它将要竞购的公司，但它也在寻找更广泛的业务。像NSOGroup这样的间谍软件公司想要一种打入iPhone的方法，但只要能奏效，他们只需要一个。这让他们支付最高的美元，以确保它保持秘密和未修补“攻击的代价不仅仅是为漏洞或漏洞付出代价，”Luta Security首席执行官Katie Moussouris说，她是业界臭虫悬赏的主要倡导者之一他们正在为针对目标使用该漏洞的排他性和长期性付出代价。”

苹果的任务要艰巨得多。本周的漏洞一经公布，苹果就修补了这些漏洞——但还有很多其他漏洞。虽然间谍软件公司将购买漏洞攻击视为多年访问的一次性支付，但每当出现新的漏洞时，苹果就必须支付奖金。修补了这个漏洞之后，NSOGroup和无数其他公司将寻找其他方法来对抗iOS安全，每个补丁都会产生更多的漏洞需要修复。去年Android中的Stagefright漏洞引发了许多下游漏洞，要么是初始攻击的变体，要么是部署的补丁中的盲点。昨天的更新最受媒体关注，但这是苹果今年以来推出的第七个安全更新，每一个新版本都修复了数十个报告中的漏洞，其中许多都是在以前的补丁上构建的。

有比任何一个团队都能找到更多的错误

这并不意味着安全是不可能的-但它意味着你不能单独拿着赏金去那里。唯一的长期解决方案是建立一个强大的内部安全团队，花时间寻找漏洞。因为仍然有比任何一个团队都能找到更多的bug，所以bug赏金计划是捕获其余bug的最佳方式，但它只是对其他安全工作的补充。

如果苹果真的把它巨大的现金储备放在捕捉每一个漏洞的背后，结果可能会给它自己的安全人员带来意想不到的后果。构建和部署补丁是一项艰巨的工作，每一点都和发现漏洞一样微妙和有创意。公司需要专门的团队来完成这项工作——但是iOS漏洞的价格飞涨，为什么不花几个月的时间来发现漏洞，把它交给赏金，然后用剩下的时间来处理你的皮肤呢？”如果苹果公司或其他防务公司试图出价高于甚至与攻击性错误的价格相匹配，他们可能会失去解决问题最需要的员工，”穆索里斯说。

取而代之的是，我们最终在粗略但有利可图的开发市场和合法但廉价的bug赏金之间形成了一种奇怪的划分。同样的研究人员参与了苹果的臭虫悬赏计划，他们可以把同样的发现卖给一个利用漏洞的经纪人，从而赚更多的钱。但他们没有，要么是因为他们相信**不坏的软件，要么是因为他们有不能用现金支付的抵押贷款。

或者如果我们真的很幸运，他们可能会相信在靴子上贴脸，确保一个讨厌的漏洞不会落入坏人之手。对于所有关于市场和激励机制的抽象说法，曼苏尔的案例也提醒我们，要使这一体系恢复正常，有多大风险。很难说，如果曼苏尔点击了间谍软件链接，可能会造成多大的损失——多少人被捕，多少真实的人为了支撑一个**和残暴的国家而遭受的痛苦。希望是，当下一个研究人员发现下一个bug时，这种想法比金钱更重要。

如何伪造指纹闯入**