threatpost - Tehnološki velikani so v zadnjih letih vendarle ugotovili, da so programi nagrajevanja odkritih ranljivosti (bug bounty) koristni. Google je v letu 2019 iz tega naslova izplačal rekordnih 6,5 milijona dolarjev, kar je toliko v dveh predhodnih letih skupaj. Največja podeljena nagrada je znašala 201.000 dolarjev, skupno pa so nagradili 461 raziskovalcev. Povečanje mase izplačil je povezano s čedalje širšim naborom izdelkov, ki so vključeni v program, z višjo popularnostjo programa ter tudi z rastjo višine nagrad. Tako je najnižja nagrada odslej 15.000 dolarjev (in ne več 5.000 dolarjev). Najvišja nagrada še vedno ostaja milijon dolarjev za oddaljen, trajni napad na Titan M v novih napravah Pixel, kar ni uspelo še nikomur. Komur bi to uspelo na predogledni verziji, pa bi dobil kar 1,5 milijona dolarjev.

Lani je Google zagnal tudi Developer Data Protection Reward Program, ki je namenjen odkrivanju težav s puščanjem osebnih podatkov v aplikacijah za Android, v OAuth in v razširitvah za...

Slo-Tech - Apple je na konferenci Black Hat naznanil korenito spremembo svojega programa za nagrajevanje odkriti ranljivosti (bug bounty), s čimer želi vzpodbuditi raziskovalce, da bi najdene luknje raje delili z Applom kot s preprodajalci. Slednji namreč ponujajo bistveno višje zneske kakor proizvajalci. Zato bo odslej Apple bolj razvezal mošnjiček, je povedal vodja varnosti in arhitekture pri Applu Ivan Krstić.

Najvišja nagrada po novem znaša okrogel milijon dolarjev, kolikor Apple ponuja za odkritje načina, kako oddaljeno in brez uporabnikove interakcije pridobiti popolni in trajni nadzor nad iOS. Dostop do osebnih podatkov brez interakcije prinese pol milijona dolarjev, številne druge ranljivosti pa od 100.000 do 250.000....

Slo-Tech - Microsoft, ki ima že sedaj enega večjih in radodarnejših programov za nagrajevanje odkritih in prijavljenih hroščev, povečuje nagradni sklad. Lani so iz tega naslova izplačali več kot dva milijona dolarjev, sedaj pa povečujejo nagrade in pospešujejo izplačila.

Od letos bodo v okviru programa Windows Insider Preview nagrade znašale do 50.000 dolarjev, medtem ko so bile doslej omejene na 15.000 dolarjev. Podobno velja za Microsoft Cloud Bounty, kjer bo namesto...

Slo-Tech - Čeprav številni proizvajalci programske opreme ponujajo nagrade za odkrite in prijavljene ranljivosti, pa lahko sposobni strokovnjaki zaslužijo bistveno več, če odkritih lukenj ne prijavijo proizvajalcu ali obešajo na veliki zvon, temveč jih prodajo specializiranim podjetjem, ki trgujejo z njimi. Eno najbolj znanih je Zerodium, ki ga je ustanovil francoski strokovnjak Chaouki Bekrar. Pred tem je bil ustanovil tudi skupino VUPEN, ki je bila znana kot eden najuspešnejših udeležencev hekerskih tekmovanj, kot je Pwn2Own, in kot velik preprodajalec ranljivosti različnim državnim službam po celem svet. Zerodium redno odkupuje ranljivosti po visokih cenah, občasno pa objavi posebno akcijo, kadar potrebuje ranljivost za točno...

Slo-Tech - Podjetje Zerodium, ki se ukvarja z iskanjem, nakupovanjem in prodajo ranljivosti v programski opremi, je včeraj znatno povišalo cene, po katerih je pripravljeno odkupiti ranljivosti v različni programski opremi. Nekateri to vidijo kot znak, da postaja programska oprema čedalje varnejša in da so ranljivosti čedalje redkejše, drugi pa se bojijo, da to kaže na povečano povpraševanje po ranljivostih s strani državnih agencij.

Zerodium je ustanovil francoski strokovnjak za računalniško varnost Chaouki Bekrar, ki je bil pred tem ustanovil tudi skupino VUPEN, ki je bila znana kot eden najbolj plodnih udeležencev hekerskih tekmovanj, kot je Pwn2Own. VUPEN je odkrite ranljivosti tudi prodajal,...

Slo-Tech - V petek je bil v Vancouvru drugi dan tekmovanja Pwn2Own in tudi to pot so tekmovalci vdrli v vse izdelke na preizkušnji. Junak dneva je bil Jung Hoon Lee, ki je pod vzdevkom lokihardt zlomil zadnjo stabilno in najnovejšo beta verzijo brskalnika Chrome. Prek brskalnika mu je uspelo priti do dveh gonilnikov v jedru Windows, kar mu je omogočilo prevzem popolnega nadzora nad sistemom. V dveh minutah je dobil 110.000 dolarjev, kar je najvišja nagrada v zgodovini Pwn2Own. Seveda pa je treba vedeti, da trajajo priprave na tekmovanje več mesecev in da tekmovalci tja pridejo z že izdelanimi kosi kode za njim poznane ranljivosti, tako da si je ta znesek v resnici prislužil z večmesečnim delom (in večletnim izobraževanjem).

Že pred tem je Lee...

Yahoo News - Najdražji in najbolj nehvaležen del pisanja programske opreme je testiranje in iskanje ranljivosti. Neposredne dodane vrednosti to ne prinaša, zgolj stroške, a lahko prihrani velike stroške v prihodnosti. Podjetja poizkušajo to delo naprtiti zunanjim izvajalcem na različne načine, pri čemer je eden izmed najučinkovitejših načinov nagrajevanje ranljivosti. Nekaj stotakov ali tisočakov za odkrito ranljivost je malenkost v primerjavi s ceno, ki bo jo imel redno zaposleni strokovnjak ali bolje cela armada takih ljudi v podjetju. Zato ni presenetljivo, da imajo Facebook, Google, Mozilla, Microsoft in številna druga podjetja posebne programe (bug bounty), kako finančno nagradijo prijavljene ranljivosti.

Yahoo pa tega doslej ni imel. Kdor je Yahooju poslal podatke o...

Slo-Tech - Raziskava, ki so jo opravili na Univerzi Berkeley, kaže, da je nagrajevanje odkritih varnostnih ranljivosti zelo učinkovita in poceni metoda za iskanje lukenj v programski opremi. V študiji so analizirali programa, ki ju izvajata Mozilla in Google. V zadnjih treh letih je Google iz tega naslova izplačal 580.000 dolarjev, Mozilla pa 570.000 dolarjev. To se sliši mnogo, a v resnici gre za drobiž. Če računamo, da bi morali vrhunskega strokovnjaka plačati od 100.000 dolarjev letno naprej, da bi to počel v podjetju, ugotovimo, da bi s tem zneskom Google lahko zaposlil enega ali kvečjemu dva človeka....