Ασφάλεια

Τα τελευταία χρόνια, τα προγράμματα γενεών bug έχουν γίνει ένα δημοφιλές συμπλήρωμα στις εσωτερικές αναθεωρήσεις ασφάλειας κώδικα και διείσδυση

Η Google ήταν μια από τις πρώτες εταιρείες που ξεκίνησε ένα πρόγραμμα ανταμοιβής ευπάθειας που κάλυψε τα ακίνητα της στο διαδίκτυο το 2010. Από τότε έχει ενώσει το Facebook, το PayPal, το Yahoo και το Mozilla. από τον υπολογιστή σας Windows]

"Εισάγουμε ένα πρόγραμμα γενναιόδωρων bugs για να ευχαριστήσουμε τους ερευνητές για θέματα που αποκαλύπτονται υπεύθυνα", ανέφερε το Twitter μέσω του λογαριασμού ασφαλείας Twitter

. η εταιρεία έχει επιλέξει να εκτελέσει το πρόγραμμά της μέσω μιας πλατφόρμας αναφοράς σφαλμάτων τρίτου μέρους που ονομάζεται HackerOne που χρησιμοποιείται επίσης από το Yahoo, το CloudFlare, το Automattic και άλλες εταιρείες.

Η HackerOne διαχειρίζεται επίσης το Bug Bounty στο Internet, ένα πρόγραμμα που χρηματοδοτείται από τη Microsoft και το Facebook ερευνητές για την εύρεση τρωτών σημείων στο λογισμικό που θεωρούνται κρίσιμες για την υποδομή του Διαδικτύου, όπως η βιβλιοθήκη OpenSSL, οι διακομιστές Apache και Nginx Web και οι γλώσσες προγραμματισμού Ruby, Python, PHP και Perl

Σύμφωνα με τη σελίδα του στο HackerOne, το Twitter θα πληρώσει τουλάχιστον $ 140 ανά ευπάθεια που βρέθηκαν στις υπηρεσίες του twitter.com ή στις εφαρμογές iOS και Android. Τα ποσά των ανταμοιβών μπορεί να ποικίλουν ανάλογα με τη σοβαρότητα των αναφερθέντων ατελειών και δεν υπάρχει προκαθορισμένο όριο στο πόσο υψηλά μπορούν να πάρουν, δήλωσε το Twitter.

Ευπάθειες που πληρούν τις προϋποθέσεις για τα προνόμια στο πρόγραμμα του Twitter είναι αυτά που οδηγούν σε δέσμες ενεργειών μεταξύ ιστοτόπων XSS), πλαστογράφηση αιτήσεων σε διάφορα σημεία (CSRF), απομακρυσμένη εκτέλεση κώδικα (RCE) ή μη εξουσιοδοτημένη πρόσβαση σε προστατευμένα tweets και άμεσα μηνύματα.

Αν και το επίσημο πρόγραμμα με χρηματικά έπαθλα που μόλις ξεκίνησε, το Twitter χρησιμοποιεί το HackerOne από τον Μάιο, κατά τη διάρκεια του οποίου έχει σπάσει πάνω από 40 σφάλματα που αναφέρθηκαν μέσω της πλατφόρμας. Πριν από αυτό, η μόνη δημόσια αναγνώριση που έδωσε σε ερευνητές οι οποίοι ανέφεραν άμεσα αδυναμίες στην εταιρεία ήταν η καταχώρισή τους στη σελίδα ασφαλείας.

Τα προγράμματα Bugy Bug είναι ένα εξαιρετικό εργαλείο - αν γίνει σωστά - για τις εταιρείες να ελέγχουν τη διαδικασία γνωστοποίησης και να ενθαρρύνουν τους ερευνητές να έρχονται σε αυτά με τα ευρήματά τους ", δήλωσε ο Carsten Eiram, επικεφαλής ερευνητής στο Risk Based Security μέσω email την Πέμπτη. "Χρησιμοποιείται επίσης πολύ ως εργαλείο δημοσίων σχέσεων για να δείξει ότι η εταιρεία ενδιαφέρεται για την ασφάλεια και τη συνεργασία με τους ερευνητές."

Eiram και Risk Based Security Η CISO Jake Kouns πραγματοποίησε μια παρουσίαση σχετικά με την εξέλιξη οι ερευνητές στη διάσκεψη ασφαλείας DefCon τον Αύγουστο

«Συνιστώ γενικά τις περισσότερες μεγάλες εταιρείες με μια λύση SaaS [λογισμικό-ως-υπηρεσία] να έχει ένα πρόγραμμα γενναιόδωρων bugs", δήλωσε ο Eiram. "Ακόμη και οι μικρότερες εταιρείες θα πρέπει να το εξετάσουν, και υπάρχουν πολλές διαφορετικές επιλογές, που ταιριάζουν στα διάφορα μεγέθη των εταιρειών και στα πορτοφόλια τους. Η χρήση πλατφορμών όπως το HackerOne, το Bugcrowd ή το CrowdCurity μπορούν να διευκολύνουν τη διαχείριση ολόκληρης της διαδικασίας εναντίον της δημιουργίας ενός προγράμματος από το μηδέν.