»

Google lani izplačal 6,5 milijona dolarjev prijaviteljem odkritih ranljivosti

threatpost - Tehnološki velikani so v zadnjih letih vendarle ugotovili, da so programi nagrajevanja odkritih ranljivosti (bug bounty) koristni. Google je v letu 2019 iz tega naslova izplačal rekordnih 6,5 milijona dolarjev, kar je toliko v dveh predhodnih letih skupaj. Največja podeljena nagrada je znašala 201.000 dolarjev, skupno pa so nagradili 461 raziskovalcev. Povečanje mase izplačil je povezano s čedalje širšim naborom izdelkov, ki so vključeni v program, z višjo popularnostjo programa ter tudi z rastjo višine nagrad. Tako je najnižja nagrada odslej 15.000 dolarjev (in ne več 5.000 dolarjev). Najvišja nagrada še vedno ostaja milijon dolarjev za oddaljen, trajni napad na Titan M v novih napravah Pixel, kar ni uspelo še nikomur. Komur bi to uspelo na predogledni verziji, pa bi dobil kar 1,5 milijona dolarjev.

Lani je Google zagnal tudi Developer Data Protection Reward Program, ki je namenjen odkrivanju težav s puščanjem osebnih podatkov v aplikacijah za Android, v OAuth in v razširitvah za...

3 komentarji

Google za prijavljene ranljivosti v čipu Titan M ponuja poldrugi milijon

Slo-Tech - Proizvajalci programske in strojne opreme se počasi zavedajo, da miloščina, ki se običajno ponuja v programih prijavljanja hroščev in ranljivosti (bug bounty), ne more konkurirati bistveno bogatejšim ponudbam obveščevalnih agencij in specializiranih preprodajalcev ranljivosti. Ti ponujajo tudi milijon ali dva. Google se je zato odločil, da za čip Titan M nagrado pošteno dvigne. Kdor v Androidu najde hrošča, ki lahko vpliva tudi na varnost čipa Titan M, bo upravičen do največ 1,5 milijona dolarjev nagrade.

Čipe Titan M, ki jih je Google predstavil lani, najdemo v telefonih Pixel 3 in Pixel 4. Čip opravlja funkcije zagotavljanja varnosti, in sicer skrbi za obdelavo občutljivih podatkov, varni zagon (Verified Boot), šifriranje podatkov, varne transakcije, zaklep zaslona itd. Ranljivost v tem čipu bi imela katastrofalne posledice za varnost naprave (dokler je seveda ne bi zakrpali). Zato kdor odkrije način, kako v Titanu M izvesti nepooblaščeno kodo, lahko prejme milijon dolarjev, če...

4 komentarji

Microsoft povečuje nagrade za odkrite hrošče

Slo-Tech - Microsoft, ki ima že sedaj enega večjih in radodarnejših programov za nagrajevanje odkritih in prijavljenih hroščev, povečuje nagradni sklad. Lani so iz tega naslova izplačali več kot dva milijona dolarjev, sedaj pa povečujejo nagrade in pospešujejo izplačila.

Od letos bodo v okviru programa Windows Insider Preview nagrade znašale do 50.000 dolarjev, medtem ko so bile doslej omejene na 15.000 dolarjev. Podobno velja za Microsoft Cloud Bounty, kjer bo namesto...

2 komentarja

Kako je Uber izplačal 100.000 dolarjev odkupnine

Slo-Tech - Reuters je razkril, kako je Uber izplačal 100.000 dolarjev odkupnine, v zameno za katero so hekerji pobrisali osebne podatke Uberjevih strank, ki so jih pridobili v vdoru lanskega oktobra. Trije različni viri blizu podjetja so za Reuters potrdili, da je Uber 100.000 dolarjev 20-letnemu Floridčanu izplačal v okviru programa za nagrajevanje prijavljenih ranljivosti (bug bounty). Tovrstne programe ima veliko podjetij, z njimi pa motivirajo in nagrajujejo raziskovalce, da odkrivajo in prijavljajo manjše in večje ranljivosti v kodi. Po neuradnih podatkih pa je Uber to uporabil kot pretvezo za izplačilo odkupnine, s katero so se napadalci zavezali, da bodo izbrali osebne podatke 57 milijonov Uberjevih uporabnikov. Identiteta...

7 komentarjev

HBO hekerjem ponudil 250.000 dolarjev

Slo-Tech - Zgodba o vdoru v HBO, v katerem so hekerji odnesli večjo, a za zdaj še nepotrjeno (navedbe hekerjev in HBO-ja se razlikujejo za več velikostnih razredov) količino materiala, s katerega objavo sedaj izsiljujejo plačilo odkupnine, postaja čedalje bolj bizarna. Potem ko so hekerji objavili videoposnetek, v katerem so zahtevali več milijonov dolarjev, a točnega zneska niso navedli, naj bi jim bil HBO po neuradnih podatkih pripravljen plačati 250.000 dolarjev.

Tako so v elektronskem sporočilu hekerjem zapisali v HBO-ju, je razvidno iz posnetka, ki ga je...

6 komentarjev

Za vdor v iPhone poldrugi milijon dolarjev

Slo-Tech - Ranljivost, ki omogoča prevzem nadzora nad iPhonom ali iPadom, je vredna vsaj 1,5 milijona dolarjev. Toliko namreč zanje ponuja zloglasno podjetje Zerodium, ki ga vodi Chaouki Bekrar, ki je znan kot vodja francoskega VUPEN-a.

Zerodium se ukvarja z iskanjem in zbiranjem ranljivosti v programski opremi, informacije o katerih potem prodajajo zainteresiranim strankam, med katerimi so velika podjetja in številne državne agencije po svetu. To je izvrsten posel, v katerem se vrtijo milijoni, in tudi precej skrivnosten posel. Ranljivosti javno ne izpostavljajo, prav tako o njih ne obveščajo proizvajalcev. Pred letom dni so na primer za vdor v iPhone razpisali nagrado v višini milijona dolarjev in jo tudi izplačali.

V vmesnem času se je zaščita Applovih izdelkov izboljšala,...

6 komentarjev