A plataforma HackerOne, que permite que pesquisadores de segurança informem empresas e desenvolvedores de software sobre a descoberta de vulnerabilidades e sejam recompensados por isso, anunciou a inclusão de software de código aberto no escopo do projeto Internet Bug Bounty. Agora, os pagamentos de recompensas podem ser feitos não apenas por descobrir vulnerabilidades em sistemas corporativos e serviços, mas também por relatar problemas em uma ampla gama de projetos de código aberto, desenvolvidos tanto por equipes quanto por desenvolvedores individuais.
Os primeiros projetos de código aberto que começaram a receber pagamentos por vulnerabilidades identificadas incluem Nginx, Ruby, RubyGems, Electron, OpenSSL, Node.js, Django e Curl. A lista será expandida no futuro. Para uma vulnerabilidade crítica, é previsto um pagamento de $5000, para uma perigo — $2500, para uma média — $1500, e para uma não perigosa — $300. A recompensa por uma vulnerabilidade encontrada é distribuída na proporção: 80% para o pesquisador que informou a vulnerabilidade, 20% para o mantenedor do projeto de código aberto que adicionou a correção.
Os recursos para financiar o novo programa são acumulados em um fundo separado. Os principais patrocinadores da iniciativa incluem empresas como Facebook, GitHub, Elastic, Figma, TikTok e Shopify, e os usuários do HackerOne têm a possibilidade de doar entre 1% e 10% dos recursos alocados.
Fonte: opennet.ru
