一个Tor浏览器0day漏洞价值100万美元，其中的隐情是……

据外媒报道称，Zerodium（一家专门购买和转售零日漏洞的公司）近日刚刚宣布，它愿意为Tails Linux和Windows操作系统上流行的Tor浏览器可用零日漏洞支付高达100万美元的赏金。

Tor浏览器用户应该将该消息作为一个早期预警，尤其是那些使用Tails操作系统来保护其隐私的用户。此外，该零日漏洞收购平台也在其网站上发布了一些规则和支付细节，宣布其对“未使用JavaScript”的Tor漏洞的收购价格将是“使用了JavaScript”的Tor漏洞的两倍。

该公司还清楚地提出，漏洞利用必须是远程代码执行漏洞，初始攻击向量应该是一个网页，且它应该适用于最新版本的Tor浏览器。此外，该Tor零日漏洞的运作除了受害者访问网页之外，必须无需任何用户交互。其它攻击向量，例如通过恶意文件传输并不适用于此次漏洞收购计划，但是Zerodium公司可能也会针对该情况，酌情定制收购价格。

Zerodium将向执法机构出售Tor浏览器零日漏洞

尽管对私营企业而言，零日漏洞市场长期以来一直都是一块有利可图的业务，它们经常会为争夺一些尚未公开的零日漏洞，支付比大型技术公司更高的价格，但是Zerodium表示，它希望将Tor浏览器的漏洞转售给执法部门，用来打击犯罪活动。

在一个提问环节中，Zerodium公司已经证实称，它将向执法机构出售自己购买的Tor 浏览器零日漏洞，而且可能也会将其出售给为政府机构提供间谍软件的商业恶意软件开发公司。

Zerodium公司表示，

“在很多情况下，Tor浏览器会被一些恶意人士用于进行贩卖毒品或虐待儿童等非法活动，我们如今为Tor浏览器推出了这个特别的零日漏洞奖励计划，目的就是为了帮助我们的政府客户打击犯罪活动，使世界变得更美好，更安全。”

为了回应Zerodium的漏洞赏金计划，Tor项目组表示，破坏其匿名软件的安全性可能会危及很多用户的生命安全，包括维权人士、活动家、律师以及研究人员等依赖该匿名软件的用户。

该非营利性基金会还敦促研究人员以及黑客可以通过其最近推出的漏洞奖励计划负责任地披露Tor浏览器中的安全漏洞。

Tor项目组发言人在接受采访时表示，

“我们认为，这笔奖金是对我们所提供的安全性的证明。我们认为，通过我们自己的漏洞奖励计划披露所有漏洞，这一做法将实现所有Tor用户（包括政府机构在内）的最大利益。每天有超过150万人依靠Tor来保证他们自身的网络隐私安全，而且对于一些人来说，甚至是涉及生死的大问题。参与Zerodium公司的计划会使我们风险最大的用户的生命受到威胁。” 

Tor 浏览器零日漏洞利用价目表 

以下是Zerodium公司为Tor浏览器漏洞利用提供的价格清单：

未使用JavaScript的Tails 3.x (64位)和Windows 10 RS3/RS2 (64位)Tor浏览器Root／系统远程代码执行漏洞（RCE）和本地提权漏洞（LPE）：价值25万美元；
未使用JavaScript的Tails 3.x (64位)或Windows 10 RS3/RS2 (64位)Tor浏览器Root／系统远程代码执行漏洞（RCE）和本地提权漏洞（LPE）：价值20万美元；
使用JavaScript的Tails 3.x (64位)和Windows 10 RS3/RS2 (64位)Tor浏览器Root／系统远程代码执行漏洞（RCE）和本地提权漏洞（LPE）：价值12.5万美元；
使用JavaScript的Tails 3.x (64位)或Windows 10 RS3/RS2 (64位)Tor浏览器Root／系统远程代码执行漏洞（RCE）和本地提权漏洞（LPE）：价值10万美元；
未使用JavaScript的Tails 3.x (64位)和Windows 10 RS3/RS2 (64位)Tor浏览器远程代码执行漏洞（RCE）：价值18.5万美元；
未使用JavaScript的Tails 3.x (64位)或Windows 10 RS3/RS2 (64位)Tor浏览器远程代码执行漏洞（RCE）：价值17.5万美元；
使用JavaScript的Tails 3.x (64位)和Windows 10 RS3/RS2 (64位)Tor浏览器远程代码执行漏洞（RCE）：价值8.5万美元；
使用JavaScript的Tails 3.x (64位)或Windows 10 RS3/RS2 (64位)Tor浏览器远程代码执行漏洞（RCE）：价值7.5万美元；

对此漏洞悬赏计划感兴趣的人士可以在2017年11月30日下午6点前（东部夏令时，EDT）提交自己的零日漏洞。此外，该公司还指出，如果支付给研究人员的总支出达到100万美元，那么该漏洞奖励计划可能会在有效期结束前提前终止。