Zimperium啟動漏洞利用收購項目，目標為iOS和安卓N日漏洞，對零日漏洞毫無興趣。

[[182767]]

漏洞獎勵項目的存在，就是為了鼓勵研究人員找到并報告零日漏洞。其中理論在于，漏洞被補上，而威脅隨之而逝。但事實上，零日漏洞往往會成為N日漏洞利用。此處的“N”，指的是從補丁放出到部署的間隔天數。在此期間，N日漏洞利用的危險程度，堪比零日。

移動世界里該問題尤其突出，因為數百萬用戶都會因為根本覆蓋不到大多數手機的糟糕的部署過程，而在相當長的時間里處于危險之中?，F在，2015年2月獲得1200萬美元B輪融資的Zimperium公司，宣布成立zLab，并拿出150萬美元投入N日漏洞利用收購項目，希望能提升移動世界的安全狀況。

CTO兼創始人祖克·亞伯拉罕解釋稱：“不幸的是，手機操作系統的安全補丁過程非常滯后，讓公司和個人面對幾十個安全威脅束手無策。通過zLab的新漏洞利用收購項目，我們的客戶、合作伙伴和網絡安全社區其他團體，都將收到這些漏洞的通告，得以提供最高水平的可能防護。”

祖克·亞伯拉罕

實際和期望效果有很多。首先就是，一旦某N日漏洞利用曝光，將會對手機生態系統造成壓力，促成安全過程更新的重新思考和改善。其次，它可以鼓勵和獎勵那些，在漏洞獎勵環境下，一旦漏洞被廠商獲知就讓利用程序開發努力秒變無用功的研究人員們。

再次，這將促成一個更安全的手機市場。有了研究人員的認可，漏洞利用程序將被發布給Zimperium手機聯盟(ZHA)的成員。該聯盟包括了三星、軟銀、特斯拉、黑莓，及超過30家全球著名手機廠商和移動運營商。Zimperium將在1到3個月后公開發布歸功于研究人員的漏洞利用。

第四，就是Zimperium自己的獎勵了。它將利用那些漏洞利用程序及其中蘊含的技術，來增強它自己的機器學習z9威脅檢測引擎的能力。這將使客戶能在補丁發布和部署前就能扛住這些漏洞利用。

對出產相關N日漏洞利用的研究人員來說，報告過程相對簡單。在nothuman.ninja上給ninja_exploits發郵件，描述漏洞利用程序，引用CVE編號，解釋漏洞利用鏈的工作機制，然后聲明愿不愿意公開發布代碼并接受報酬。

然后，漏洞利用將接受zLab委員會的評估，給出研究人員應得的報酬額度。作為規則，關鍵漏洞——比如說完整的遠程漏洞利用鏈，將收到比本地漏洞利用更多的報酬。如果能夠觸發更老機型/OS上的漏洞，也會給出相應的提示。

2月1日的博文中，亞伯拉罕寫道：“這很簡單，我們會購買除最新iOS/安卓版本之外任何版本的遠程和本地漏洞利用。”

有一點可能會引發爭議：通過鼓勵N日漏洞利用的開發，并將其解決方案集成到z9檢測引擎中，Zimperium其實是在增加非Zimperium用戶的風險。亞伯拉罕反駁此種論點稱：“雖然個人手機用戶不能立即看出該項目的好處，但我們真的是在盡力加固用戶接收安全更新的方式。”

實際上，該模式是對Zimperium已經著手的事務的規范化與補強。2015年9月，Zimperium公布了一個安卓Stagefright的關鍵漏洞利用。該漏洞已經被谷歌打上補丁，但一個已公開的漏洞利用的存在，迫使安卓供應商部署該補丁。

減少N日漏洞利用存活期的任何努力，無疑都是有益的。但如果150萬美元都花光了會怎么樣呢?“那就有大問題了。取決于項目的成功程度，可能會增加投入吧。”