Die Plattform HackerOne, die Sicherheitsforschern die Möglichkeit bietet, Unternehmen und Softwareentwickler über das Auffinden von Schwachstellen zu informieren und dafür Belohnungen zu erhalten, hat die Einbeziehung von Open Source in den Geltungsbereich des Internet Bug Bounty-Projekts bekannt gegeben. Belohnungen können jetzt nicht nur für das Auffinden von Schwachstellen in Unternehmenssystemen und -diensten gezahlt werden, sondern auch für die Meldung von Problemen in einem breiten Spektrum von Open-Source-Projekten, die sowohl von Teams als auch von einzelnen Entwicklern vorangetrieben werden.
Zu den ersten Open-Source-Projekten, für die beginnen werden, Belohnungen für gefundene Schwachstellen auszuzahlen, zählen Nginx, Ruby, RubyGems, Electron, OpenSSL, Node.js, Django und Curl. Die Liste wird in Zukunft erweitert. Für eine kritische Schwachstelle wird eine Belohnung von 5000 $ gewährt, für eine gefährliche 2500 $, für eine mittlere 1500 $ und für eine harmlose 300 $. Die Prämie für eine gefundene Schwachstelle wird im Verhältnis von 80% an den Forscher, der die Schwachstelle gemeldet hat, und 20% an den Betreuer des Open-Source-Projekts, der die Schwachstelle behoben hat, verteilt.
Die Mittel zur Finanzierung des neuen Programms werden in einem separaten Pool gebündelt. Zu den Hauptsponsoren der Initiative gehören die Unternehmen Facebook, GitHub, Elastic, Figma, TikTok und Shopify, und den Nutzern von HackerOne wird die Möglichkeit gegeben, zwischen 1% und 10% der bereitgestellten Mittel in den Pool zu übertragen.
Quelle: opennet.ru
