Microsoft za odpravo ranljivosti v IE11 odštel 28.000 dolarjev

Microsoft je razkril, da so v mesecu dni, kolikor je trajalo plačano lovljenje hroščev v predogledni verziji Internet Explorerja 11, razdelili dobrih 28.000 dolarjev. Pri tem še zdaleč ni edino podjetje, ki na tak način išče varnostne luknje; čedalje več jih je. Se splača?

Odvisno od tega, koga vprašate. Podjetjem se več kot očitno, saj tako imenovano nagrajevanje ranljivosti (bug bounty) često uporabljajo. Mozilla, Google in Facebook so le nekatera izmed podjetij, ki imajo javno odprt program prijave ranljivosti v zameno za finančno nadomestilo (beri: nagrado). Celoten seznam razkrije, da je teh podjetij več ducatov.

Ekonomska računica je enostavna. Strokovnjak, ki se bo s tem ukvarjal v podjetju, bo letno stal 100.000 dolarjev ali več. Bližnjic tu namreč ni, saj najboljši pač stanejo. Po drugi strani pa nagrade tudi za najresnejše ranljivosti ne presežejo nekaj tisoč dolarjev. Še več, podjetje ima diskrecijsko pravico odločati o višini nagrade, čeprav so grobe smernice javno objavljene vnaprej.

Zato ni presenetljivo, da nekateri odkrite ranljivosti raje obdržijo zase in z njimi služijo bistveno večje zneske na sivem trgu. Tak primer je francoski VUPEN, o katerem smo že pisali v Monitorju 04/13.

Pretekli teden je bil Yahoo eno zadnjih podjetij, ki se je odločilo za to potezo. Doslej namreč niso nagrajevali nobenih prijav, je pa varnostna sekcija na lastno pest kot znak dobre volje prijaviteljem pošiljala majice, kemične svinčnike in podobno. Vsi tega niso najbolje sprejeli in pretekli teden je izbruhnil škandal, ko so se Švicarji javno pridušali, da je to poniževalno. In Yahoo je urno najavil, da bodo do konca meseca vzpostavili resen program finančnega nagrajevanja, kot ga ima konkurenca.

Nazaj k Microsoftu. Od 26. junija do 26. julija je trajal eksperimentalni program lovljenja hroščev za predogledno verzijo Internet Explorerja 11, ki bo vključena v Windows 8.1, ki izide ta mesec. V tem času je šest raziskovalcev prijavilo petnajst ranljivosti različne resnosti.

 http://www.microsoft.com/security/msrc/report/acknowledgement.aspx