Google заплатит эквивалент щедрой годовой зарплаты, если вы раздавите это.
Bug bounty становятся все более прибыльными, намекая на то, как много компаний полагаются на краудсорсинг для поиска уязвимостей, которые могут вывести из строя их системы. Например, Google увеличил вознаграждение за определенные ошибки Chrome до 30 000 долларов (по сравнению с 15 000 долларов).
Согласно новым Правилам программы вознаграждения за уязвимости Chrome, высококачественный отчет с функциональным эксплойтом для побега из песочницы или повреждения памяти в процессе без песочницы принесет эти огромные 30 000 долларов, в то время как высококачественный отчет все еще хорошо за 20000 долларов. Отчеты и эксплойты для универсального межсайтового скриптинга стоят 20 000 долларов (или 15 000 долларов, если это только отчет).
Но большая энчилада безопасности Google, за обнаружение и детализацию которой компания готова выплатить внушительные 150 000 долларов, — это любой эксплойт, который может скомпрометировать Chromebook или Chromebox с сохранением устройства в гостевом режиме (т. через веб-страницу). Любые ошибки в прошивке и обход блокировки экрана также приносят вознаграждение (у группы безопасности Google есть дополнительная информация в Блоге безопасности Google.)
Что Google подразумевает под «высококачественным» отчетом? Ему нужен минимизированный тестовый пример, анализ первопричины эксплойта, хорошо написанная проза, демонстрация того, что эксплойт «очень вероятен» и предлагаемый патч — другими словами, технический специалист, который находит один из этих эксплойтов. bugs в основном выполняет за них большую часть работы команды безопасности Google. Но эй, никто не говорил, что получение награды было чем-то иным, кроме тяжелой работы.
Треснувшие ветровые стекла и наличные деньги Bug Bounty
Google — не единственная компания, которая платит большие деньги за ошибки. Исследователь безопасности веб-приложений Сэм Карри заработал неплохие 10 000 долларов после того, как трещина в лобовом стекле его Tesla привела его к обнаружению простой, но критической уязвимости. изменять информацию о других автомобилях [Tesla]». После того, как он сообщил об этом, Tesla выплатила ему деньги в течение двух недель.
«В заключение хочу отметить, что программа Tesla по поиску ошибок просто фантастическая», — добавил он. «Они обеспечивают безопасное убежище для исследователей, которые добросовестно пытаются взломать свои машины. Если вы случайно заблокируете один из них, они даже предложат поддержку в попытке его починить».
Это очень хорошо, учитывая, что поломка нового электромобиля гораздо более разрушительна, чем, скажем, сбой браузера или даже испорченный ноутбук. Но компании должны иметь в виду, что, даже если краудсорсинг и баунти могут выявить множество уязвимостей, защищенная ИТ-инфраструктура по-прежнему требует специализированных специалистов по безопасности (и они тоже недешевы).
