Het HackerOne-platform stelt beveiligingsonderzoekers in staat bedrijven en softwareontwikkelaars te informeren over het ontdekken van kwetsbaarheden en ontvangt daarvoor beloningen. Ze hebben aangekondigd dat open source software nu onder de reikwijdte van het Internet Bug Bounty-project valt. Beloningen kunnen nu niet alleen worden verleend voor kwetsbaarheden in bedrijfsystemen en -diensten, maar ook voor het informeren over problemen in een breed scala aan open projecten, ontwikkeld door zowel teams als individuele ontwikkelaars.
De eerste open projecten waarvoor beloningen worden verstrekt voor gevonden kwetsbaarheden zijn Nginx, Ruby, RubyGems, Electron, OpenSSL, Node.js, Django en Curl. In de toekomst zal de lijst worden uitgebreid. Voor een kritieke kwetsbaarheid is er een beloning van $5000, voor een gevaarlijke $2500, voor een gemiddelde $1500 en voor een niet-gevaarlijke $300. De beloning voor een gevonden kwetsbaarheid wordt verdeeld in de verhouding: 80% gaat naar de onderzoeker die de kwetsbaarheid heeft gemeld, 20% naar de beheerder van het open project die de kwetsbaarheid heeft verholpen.
De middelen voor het financieren van het nieuwe programma worden gecumuleerd in een apart fonds. De belangrijkste sponsors van het initiatief zijn Facebook, GitHub, Elastic, Figma, TikTok en Shopify, en gebruikers van HackerOne krijgen de mogelijkheid om 1% tot 10% van de beschikbare middelen aan het fonds te besteden.
Bron: opennet.ru
