Das Node.js-Projekt ändert das Belohnungsprogramm für gefundene Fehler, nachdem die Entwickler mit einem Anstieg von Berichten konfrontiert wurden, die mit Hilfe von künstlicher Intelligenz erstellt wurden und schwer zu bewerten sind.
Jetzt für die Einreichung von Schwachstellenberichten HackerOne wird von dem Node.js-Projekt ein Signal von 1.0 oder höher verlangt.
Das Sicherheitsteam von Node.js hat einen signifikanten Anstieg an qualitativ schlechten Berichten festgestellt. Dieser Trend hat sich in den letzten Jahren verstärkt, und während der Feiertage überstiegen die Berichte unsere physikalischen Möglichkeiten. Vom 15. Dezember bis zum 15. Januar erhielten wir über 30 Berichte. Ihre Bearbeitung kostet Zeit und Ressourcen, die für echte Sicherheitsarbeit genutzt werden könnten.
Die Anforderung eines minimalen Signalwerts stellt sicher, dass die Melder nachweisliche Erfahrung in der Einreichung valider Berichte haben, während auch neue Forscher mit einer begrenzten Anzahl von Einreichungen teilnehmen können.
Signal — ist eine Reputationsmetrik bei HackerOne, die die Qualität vergangener Berichte eines Forschers widerspiegelt. Ein hohes Signal weist auf eine Historie von validen und bedeutenden Funden hin. Diese Anforderung hilft, Prioritäten für Berichte von Experten mit nachgewiesener Erfahrung zu setzen und die Belastung durch die Bearbeitung fehlerhafter Einreichungen zu verringern.
Quelle: linux.org.ru
