Online Tržište

Facebook je objavio da je u 2015. godini isplatio skoro milijun dolara u okviru svog “Bug Bounty” programa. Radi se o programu financijskog nagrađivanja onih koji otkriju dojmljive greške na najpopularnijoj društvenoj platformi.

Facebook u svom zadnjem izvješću navodi da je zaprimio 13.233 podneska od 5.543 istraživača iz 127 zemalja. Od ukupnog broja podnesaka, 102 su kategorizirana kao greške visokog rizika, što predstavlja povećanje od 38% u odnosu na prethodnu godinu. Nagrađeno je 210 istraživača sa ukupno 936.000 dolara. Prosječna nagrada je iznosila 1.780 dolara. Interesantno je možda to što je najveći broj nagrađenih iz Indije, Egipta i Trinidad i Tobaga.

Najpopularnija društvena mreža na svijetu ističe da je u 2015. godini isplaćeno manje nagrada nego prethodnih godina. U 2014 godine nagrađeno je 321 istraživač sa ukupno 1,3 milijuna dolara dok je u 2013 godini nagrađeno 330 istraživača sa ukupno 1,5 milijuna dolara.

Facebook je pokrenuo svoj “Bug Bounty” program još u kolovozu 2011. godine i od tada je nagrađeno više od 800 istraživača sa skoro 4,5 milijuna dolara.

Usporedbe radi, kompanija Google nedavno je u svom izviješću navela da je od 2010. godine kada je pokrenula vlastiti “Bug Bounty” programa pa do danas, nagradila istraživače ukupno sa više od 6 milijuna dolara. Samo u 2015. godini kompanija Google isplatila je 2 milijuna dolara istraživačima koji su otkrili greške na njenim platformama (Chrome, Android i ostalo), što je značajan porast u odnosu na godinu dana ranije kada je kompanija isplatila 1,5 milijuna dolara.

Mnoge kompanije su bile žrtve hakera koji su im prouzročili ogromnu štetu. Kako bi se spriječile buduće napade, velike kompanije obično pokreću program “bug bounty program” putem kojega plaćaju etičkim hakerima da otkriju ranjivosti (bugove) u njihovom softveru.

U suradnji s “bug-busting” platformom HackerOne, kompanija Sony  predstavila je svoj “bug bounty” program za pronalaženje i popravljanje ranjivosti na PlayStation 4 konzoli za igranje u kojem mogu učestvovati svi koji bi htjeli testirati sigurnost jedne od najpopularnijih konzola za igranje.

HackerOne platformu su pokrenuli sami hakeri koje pokreće strast da učine Internet sigurnijim. Platforma surađuje s globalnom hakerskom zajednicom kako bi otkrili najrelevantnija sigurnosna pitanja prije nego što ih iskoriste zločinci. Trenutno aktivne “bug bounty” programe pogledajte na HackerOne stranici.

Sony je još jedna u nizu kompanija koja je lansirala svoj “bug bounty program”. Japanski elektronski gigant nudi 50.000 dolara za pronalaženje kritičnih ranjivosti na konzoli PlayStationu 4.

Na Web stranici HackerOne navodi se da za uočavanje kritične ranjivosti u PlayStation mreži možete dobiti maksimalnu nagradu od 3000 dolara, dok korisnik koji prijavi ranjivost (bug) niskog prioriteta ispunjava uvjete za dodjelu nagrade od 100 dolara. Ako vas više zanima otkrivanje ranjivosti u PlayStation 4, najviša nagrada je 50.000 dolara, dok otkrivanje ranjivosti niskog prioriteta na konzoli može donijeti 500 dolara.

HackerOne navodi da je već isplaćeno 173.900 dolara u sklopu “bug bounty program”. U zadnja tri mjeseca prijavljeno je više od 154 potencijalne ranjivosti.

Što se tiče opsega “bug bounty programa” kompanija Sony ističe da program pokriva PlayStation 4 sustav, operativni sustav, dodatke i PlayStation Network.

Stoga, ako ste vješti, etični haker ili zaljubljenik u PlayStation igrice, ovo bi vam mogla biti jedna od najboljih šansi da zaradite novac dok igrate igrice na jednoj od najpopularnijih konzola, PlayStation 4.

Više pojedinosti o Sony “bug bounty programu” možete pronaći ovdje.

Nintendo konzole već godinama imaju problema s piratstvom i hakiranjem, a sada je kompanija konačno odlučila da učiniti nešto povodom toga. U suradnji s “bug-busting” platformom HackerOne, Nintendo je predstavio svoj “bug bounty” program za pronalaženje i popravljanje ranjivosti na njenoj Nintendo 3DS konzoli za igranje.

Program je usredotočen isključivo na greške koje se pronađu na Nintendo 3DS konzoli i za njih pronalazačima nudi novčane nagradeod 100 dolara do 20.000 dolara. Nintendo traži ranjivosti koje se odnose na:

• Piratstvo
• Varanje
• Širenje neprimjerenog sadržaja za djecu
• Ranjivosti Nintendo 3DS sustava
• Ranjivosti Nintendo aplikacija za Nintendo 3DS sustave
• Hardverske ranjivosti Nintendo 3DS konzole

Kao što možete vidjeti, popis je prilično iscrpan što samo pokazuje da je Nintendo itekako svjestan da je njegova platforma puna propusta.

Jedan od najpoznatijih propusta Nintendo 3DS konzole vjerojatno je “Revolution” kertridž, poznatiji kao “R4”, koji vlasnicima ove konzole za igranje omogućuje da ROM igre preuzmu s interneta a zatim da je igraju na konzoli preko slota za SD karticu. Kompanija Nintendo je u više navrata od najvećih online trgovaca tražio da se zabrani prodaja “Revolution” kertridža, međutim kertridž je još uvijek moguće pronaći uz malo truda.

Problem Nintenda nije samo 3DS konzola, kompanija problem s piratstvom i hakiranjem ima odavno. Nintendo Wii je konzola koja također ima nevjerojatne propuste koji su korišteni kako bi se na nju instalirale domaće aplikacije i ROM lanseri koji igračima omogućuje da na svoje eksterne diskova ilegalno preuzimaju igre koje zatim mogu igrati, bez diskova, na Nintendo Wii konzoli.

Više detalja o ovom Nintendo programu za nagrađivanje pronađenih ranjivosti na njenoj 3DS konzoli možete pronaći na https://hackerone.com/nintendo

Kompanija Google jučer je objavila novosti u svom “Chrome Reward Program” koji je dio “Bug Bounty” programa financijskog nagrađivanja onih koji otkriju dojmljive greške na njegovim Web servisima, aplikacijama, ekstenzijama, Chrome, Chrome OS i Android-u. Google je odlučio da udvostruči glavnu nagradu na 100.000 dolara za hakiranje Chromebook-a ali i da uvede nove nagrade.

Google je u svom posljednjem izviješću objavio da je od 2010. godine kada je pokrenuo vlastiti “Bug Bounty” programa pa do danas, nagradio sigurnosne istraživače sa više od 6 milijuna dolara. Samo za 2015. godinu kompanija je isplatila više od 2 milijuna dolara istraživačima koji su otkrili greške na njenim platformama što je značajan porast u odnosu na godinu dana ranije kada je kompanija isplatila 1,5 milijuna dolara.

Treba reći da su “Bug Bounty” programi odličan dodatak postojećim internim sigurnosnim programima jer pomažu motivirati pojedince i skupine hakera, ne samo da bi pronalazili greške i sigurnosne propuste, nego da ih eventualno i prijave Google-u, Facebook-u, Microsoft-u i ostalima koji imaju ove programe, umjesto da ih koriste za neke nezakonite radnje.

Prije tri tjedna najpopularnija društvena mreža na svijetu je objavio da je u 2015. godini isplatila skoro milijun dolara u okviru svog Facebook Bug Bounty programa.

Google je prošle godine proširio svoj “Bug Bounty” program nudeći novčane nagrade svima koji pronađu sigurnosne propuste u mobilnom operativnom sustavu Android. Kompanija je također prošle godine ponudila i nagradu od 50.000 dolara za hakiranje Chromebook-a, ali do sada nisu primili niti jednu uspješnu prijavu. Zbog toga je Google odlučio da udvostruči nagradu koja sada iznosi fantastičnih 100.000 dolara. Očito da kompanija doista želi da neko hakira Chrome OS!

Velika otkrića zaslužuju velike nagrade. Iz tog razloga smo se odlučili za ovoliku nagradu koja će biti dostupna tijekom cijele godine, bez kvota i bez ograničenja u broja isplata,

stoji u priopćenju kompanije Google.

Što se tiče uvođenja dodatnih nagrada, Google je predstavio “Download Protection Bypass” nagradu. Ukratko, radi se o tome da će Google nagraditi sve one koji budu uspjeli da zaobiđu zaštitu kod preuzimanja u Chrome značajki sigurnog pregledavanja (Safe Browsing). Google je objavio i pravila koja možete pronaći na Chrome Reward Program stranici a koja podrazumjevaju da:

• Sigurno pregledavanje (Safe Browsing) mora biti omogućeno u Chrome-u s tim da i baza podataka mora imati najnovije ažuriranje.
• Safe Browsing poslužitelji (serveri) moraju biti dostupni na mreži.
• Binary se moraju smjestiti na lokaciju sa kojeg će ga korisnik vjerojatno izvršiti npr. mapa preuzimanja (Download folder).
• Od korisnika se ne može zatražiti da promjeni ekstenziju datoteke niti da uradi “recovery” s blokiranog popisa za preuzimanje.
• Bilo koji potrebni pokreti (gesture) moraju biti vjerojatni nastavak neke radnje i razumni potezi za većinu korisnika. Važno je znati da ako pokušavate izvršenje s više od tri razumne geste korisnika (npr. kliknite za download, otvorite .zip i pokrenite .exe) da su mali izgledi da ćete biti kvalificirani, ali i da se svaki slučaj ocjenjuje zasebno.
• Preuzimanje ne treba poslati Download Protection Ping natrag na Safe Browsing. Download Protection Ping se može mjeriti provjerom rasta na brojačima na chrome://histograms/SBClientDownload.CheckDownloadStats. Ako je primjetna promjena na brojaču, provjera je bila uspješno poslana (iznimka je brojač 7. koji broji provjere koje nisu poslane).
• Domen na kom se nalazi Binary i svi potpisi ne može biti na bijeloj listi (Whitelist). To možete provjeriti na chrome://histograms/SBClientDownload.SignedOrWhitelistedDownload

Sigurno pregledavanje (Safe Browsing) daje popis URL-ova koji sadrže zlonamjerne programe (malware) ili sadržaj za krađu identiteta preglednicima Chrome, Firefox i Safari ali i davateljima Internetskih usluga (ISP). Usluzi sigurnog pregledavanja se također može pristupiti putem javnog API-ja ili izravno na Google stranici za provjeru URL adresa.

Kompanija Microsoft predstavila je nove programe nagrađivanja osmišljene s ciljem kako bi kompanija postala svjesna sigurnosnih propusta.

Microsoft poziva sve, i pojedince i kompanije, da se priključe programu putem kojeg nudi novčane nagrade do 100.000 dolara u zamjenu za izvještavanje o pojedinim vrstama ranjivosti i tehnikama eksploatacije.

Kompanija će 26. lipnja pokrenuti tri programa:

1. Mitigation Bypass Bounty
2. BlueHat Bonus for Defense
3. Internet Explorer 11 Preview Bug Bounty

Kod Mitigation Bypass Bounty, Microsoft će platiti do 100.000 dolara za nove tehnike eksploatacije zaštite ugrađene u novi operativni sustav Windows 8.1 Preview. Kompanija navodi da će im rano uočavanje i učenje o novim tehnikama eksploatacije pomoći da znatno poboljšaju sigurnost.

Drugi program se zove BlueHat Bonus for Defense putem koje će Microsoft platiti do 50.000 dolara za obrambene ideja koje se odose na podnesene Mitigation Bypass Bounty теhnike. Naravno, ovaj program je povezan sa Mitigation Bypass Bounty programom što može biti dobar način da pojedinci zarade još više novca od svog rada.

Konačno, Microsoft nudi i do 11.000 dolara za kritične ranjivosti koje utječu na Internet Explorer 11 Preview u operativnom sustavu Windows 8.1 Preview.

Kao što smo već pomenuli, Microsoft će ova tri nagradna programa pokrenuti 26. lipnja 2013 godine. Mitigation Bypass Bounty i BlueHat Bonus for Defense nisu vremenski ograničeni programi dok je Internet Explorer 11 Preview Bug Bounty ograničen na  30 dana probnog razdoblja (od 26. lipnja do 26. srpnja).

Svi oni koji su zainteresirani da saznaju više trebaju da posjete  Microsoft-ovu stranicu na kojoj su detaljno predstavljeni nagradni programi.

Ovog mjeseca kompanija Google platila je znanstveniku koji se bavi sigurnosti na Internetu rekordnih 31.336 dolara za obavještavanje o tri greške u tražilici Chrome.

Rekordni iznos Google-ovog “bug bounty” programa isplaćen je Ralf-Philipp Weinmann-u, znanstveniku suradniku na Sveučilištu u Luksemburgu. “Bug bounty” programa podrazumijeva da kompanija Google novčano nagradi svakoga tko otkrije grešku u njenom softveru.

Drago nam je što možemo objaviti da smo novčano nagradili Ralf-Philipp Weinmann-a sa 31.336 dolara u okviru Chromium nagradnog programa, otkrivanjem tri greške u kodu tražilice Chrome. Greške su demonstrirane i vrlo detaljno opisane,

navodi u priopćenju Ben Henry, Google tehnički voditelj Bug Bounty programa.

Ove tri greške iskorištavaju O3D, a JavaScript API (Application Programming Interface) dizajnirano za kreiranje interaktivnih 3D Web aplikacija. API i dodatak za podržanu tražilicu kreirani su od strane Google-a.

Važno je reći da su sve tri greške označene kao visokorizične, druge po ozbiljnosti na Chrome-ovom sustavu rangiranja ozbiljnosti ranjivosti.

Ova novčana nagrada je nešto veće nego što je to bilo uobičajeno za otkrivanje sličnih grešaka u Chrome međutim, prošlog kolovoza je kompanija najavila da će povećati novčane nagrade kako bi potakla ljude na otkrivanje i prijavljivanje grešaka u Chrome.

Google navodi da je u ovoj godini do sada isplatio gotovo 188.000 dolara nagrada za otkrivanje grešaka i propusta u Chrome i Chrome OS, uključujući i one na Pwn2Own i Google-ovim vlastitim Pwnium natječajima.

Facebook je odlučio da počne da plaća hakerima za pronalazak bugova na njegovom web sajtu. Najpopularnija društvena mreža tako je krenula stopama kompanije Google i Mozilla injihovog "Bug Bounty" programa. Na primjer, hakeru koji otkrije bug koji utječe na sigurnost,neki scripting nedostatak ili sl., Facebook će platiti 500 dolara. Ako se potvrdi da se radi o zaista značajnim nedostacima, Facebook će platiti mnogo više, detalji nisu precizirani.

Facebook će lansirati novi Whitehat haker portal gdje će svi zainteesirani moći da se prijave za program i prijavljuju pronađene bugove.

Mnogi hakeri rado prijavljuju greške koje pronađu u softveru ili web stranici i tako stiću ugled kod drugih. Pronalaženje značajnog buga na sajtu kao što je Facebook može pomoći u hakerskoj karijeri, pa i slavni, jer će tako nešto veliki broj medija prenijeti milionskom auditoriju.

U posljednjih nekoliko godina, kompanije su pokretale ovakve programe poticanja hakera za pronalazak bugova kako bi oni šutjeli o problemima koje su pronašli, sve dok se oni ne saniraju. Pa tako, kompanija Google plaća između 500 i 3,133.70 dolara, ovisno o težini pogreške.

Google je počeo plaćati za pronađene greške u browser-u početkom 2010 godine, a zatim je u studenom proširio taj program na sva svoja web svojstva.

Ovaj nagradni program je Google-u pomogao da otkrije veliki broj grešaka u programiranju u posljednjih osam mjeseci, od kojih je većina bila u Google-ovim manje poznatim proizvodima. Vrlo smo zadovoljni uspjehom našeg programa za otkrivanje pogreški i ranjivosti do sada. Mi smo već dali 300.000 dolara za razne zanimljive pogreške,

priopćio je glasnogovornik kompanije Google.

Facebook navodi da trenutno ima između 30 i 50 kontakata svaki tjedan sa hakerima koji ga obavještavaju o bugovima koje su uočili a većinom se radi o cross-site scripting ili cross-site request. To su vrlo uobičajene pogreške u Web programiranju koje prevaranti mogu zlorabiti protiv korisnika Facebooka.

Facebook održava dobre odnose sa hakerskom zajednicom, pa tako već dvije godine učestvuje u sponzoriranju hakerske Defcon konferencije. Na pitanje da to obrazloži, predstavnici Facebook-a navode da je to odlično mjesto za regrutiranje novih talenata i educiranja njihovih djelatnika sigurnosti. Također ističu da ni na jednu drugo konferenciju ne šalju tako veliki broj ljudi, niti se toliko pripremaju, kao što je to slučaj sa Defcon konferencijom.