Mozilla utökar sitt belöningsprogram för att avslöja sårbarheter

Företaget Mozilla tillkännagav om utvidgningen initiativ för utbetalning av monetära belöningar för att upptäcka säkerhetsproblem i infrastrukturelement relaterade till utvecklingen av Firefox. Beloppen för belöningar för att avslöja sårbarheter på webbplatser och tjänster tillhörande Mozilla har fördubblats, och belöningen för att upptäcka sårbarheter som kan leda till kodexekvering på nyckelsajter, har höjts till 15 000 dollar.

För att identifiera en metod för att kringgå autentisering och injicera SQL-kod kan man få en belöning på 6 000 dollar, medan belöningen för cross-site scripting och CSRF är 5 000 dollar. Nyckelsajterna inkluderar firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
och ytterligare ett dussin webbplatser relaterade till tillägg, uppdateringar, nedladdning, synkronisering och statistik.

För grundläggande sajter beloppet för belöningarna är ungefär hälften så mycket. De grundläggande sajterna inkluderar observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org och vissa interna tjänster för utvecklare.

Jämfört med de tidigare villkoren har följande nyckelsajter och tjänster lagts till:

• Autograph (digital signaturstjänst),
• Lando (tjänst för automatisk koddistribution från
  Phabricator till arkiv),
• Phabricator (verktyg för kodhantering som används för att granska ändringar),
• Taskcluster (ramverk för att köra uppgifter som stöder systemet för kontinuerlig integration och release-processer).

Nya grundläggande sajter inkluderar:

• Firefox Monitor (monitor.firefox.com),
• Lokaliseringsplattform (l10n.mozilla.org),
• Tjänsten Payment Subscription (gränssnitt över betalningssystemet Stripe),
• Firefox Private Network (tillägg med proxy för att skydda trafik),
• Ship It (system för att översätta förfrågningar för att skapa releaser),
• Speak To Me (taligenkänningsteknologi som ligger till grund för Speech Recognition API).

Dessutom kan man notera planera att aktivera i den planerade releasen av Firefox 72 den 7 januari metoder för att motverka med envisande förfrågningar om att ge webbplatsen ytterligare rättigheter. Många webbplatser missbrukar den funktion i webbläsare som gör det möjligt att begära åtkomsträttigheter, framför allt genom att periodiskt visa förfrågningar om att ta emot push-notiser. Analysen av telemetri har visat att 97% av sådana förfrågningar avvisas, inklusive i 19% av fallen, där användaren stänger sidan direkt utan att klicka på knappen för att godkänna eller avvisa. I Firefox 72 kommer sådana förfrågningar att blockeras om det inte registreras någon användarinteraktion med sidan (musklik eller tangenttryckning).

Bland de kommande förändringarna i Firefox 72 framhävs även användningen av bakgrundsfärgen på den aktuella sidan för rullningsfältet och borttagning av möjligheten till bindning av öppna nycklar (PKP, Public Key Pinning), vilket gör det möjligt att med hjälp av HTTP-headern Public-Key-Pins tydligt ange vilka certifikat från certifieringsmyndigheter som får användas för en viss webbplats. Anledningen anges vara den låga efterfrågan på denna funktion, risken för kompatibilitetsproblem (PKP-stöd avslutades i Chrome) och risken att blockera sin egen webbplats på grund av felaktig nyckelbindning eller förlust av nycklar (till exempel av misstag radera eller kompromettering som resultat av hackning).

Källa: opennet.ru