HackerOne-platformen, der giver sikkerhedsforskere mulighed for at informere virksomheder og softwareudviklere om opdagede sårbarheder og modtage belønninger for dette, har annonceret, at open source-software er blevet inkluderet i projektet Internet Bug Bounty. Belønninger kan nu tildeles ikke kun for at finde sårbarheder i virksomhedssystemer og -tjenester men også for at informere om problemer i et bredt spektrum af open source-projekter, udviklet af både teams og enkeltudviklere.
Blandt de første open source-projekter, der får udbetalt belønninger for fundne sårbarheder, er Nginx, Ruby, RubyGems, Electron, OpenSSL, Node.js, Django og Curl. Listen vil blive udvidet. For en kritisk sårbarhed er belønningssummen $5000, for en alvorlig sårbarhed $2500, for en moderat sårbarhed $1500 og for en mindre sårbarhed $300. Præmien for en funden sårbarhed fordeles således: 80% til den forsker, der rapporterede sårbarheden, og 20% til den, der vedligeholder det åbne projekt og tilføjer rettelsen.
Midlerne til finansiering af det nye program opsamles i en separat pulje. De primære sponsorer af initiativet er virksomheder som Facebook, GitHub, Elastic, Figma, TikTok og Shopify, og brugere af HackerOne har mulighed for at overføre mellem 1% og 10% af de tildelte midler til puljen.
Kilde: opennet.ru
