Microsoft će sada isplatiti do 30,000 dolara za lovce na bube na ograničeno vrijeme
2 min. čitati
Objavljeno na
Podijelite ovaj članak
Poboljšajte ovaj vodič
Pročitajte našu stranicu za otkrivanje kako biste saznali kako možete pomoći MSPoweruseru da održi urednički tim Čitaj više
Tijekom posljednjih nekoliko tjedana Google je dvaput osramotio Microsoft objavljujući informacije o sigurnosnim ranjivostima u sustavu Windows 10 prije nego što ih je Microsoft bio spreman zakrpiti.
Microsoft je sada odgovorio tako što je udvostručio svoju nagradu za greške na ograničeno razdoblje, što znači da istraživači sigurnosti mogu zaraditi do 30,000 dolara ako pronađu ozbiljnu grešku u određenim Microsoftovim uslugama od 1. ožujka do 31. svibnja 2017.
Kada bi istraživači platili Microsoftove pronalaženje grešaka, Microsoft bi dao veću kontrolu nad postupkom otkrivanja i dopustio im da sami daju prioritet popravcima, umjesto da ih prisiljava tromjesečni raspored koji većina neovisnih istraživača koristi prije javnog otkrivanja.
Microsoft nudi nagrade za usluge na sljedećim domenama:
- portal.office.com
- outlook.office365.com
- outlook.office.com
- *.outlook.com
- outlook.com
Ukupni popis uključuje 18 domena i daljnjih 37 prihvatljivih krajnjih točaka obuhvaćenih standardnom nagradom za bugove.
Microsoft želi da istraživači potraže devet različitih vrsta bugova, uključujući:
- Skriptiranje na križanju web-lokacija (XSS)
- Krivotvorenje zahtjeva za više web-lokacija (CSRF)
- Neovlašteno neovlašteno mijenjanje ili pristup podacima više zakupnika (za usluge s više stanara)
- Nesigurne izravne reference objekata
- Ranjivosti ubrizgavanja
- Ranjivosti provjere autentičnosti
- Izvršenje koda na strani poslužitelja
- Povilegije eskalacije
- Značajna sigurnosna pogrešna konfiguracija (kada nije uzrokovana od strane korisnika)
Iako 30,000 dolara može zvučati puno, istraživači sigurnosti mogu biti nagrađeni mnogo više prodajom svog otkrića na Dark Netu, izvještava Enterprise Times, napominjući da ranjivost Zero Day može donijeti čak 200,000 dolara i da istraživači mogu zaraditi čak i više ako razviju bug i prodati ga kao dio zlonamjernog softvera kao platforme usluge. To bi naravno bilo krajnje protuzakonito.
Istraživači koji nisu na tamnoj strani mogu pročitati više o sustavu nagrada na Technetu ovdje.
