Microsoft kommer nu att betala ut upp till $30,000 XNUMX för buggprisjägare under en begränsad tid
2 min. läsa
Publicerad den
Dela den här artikeln
Förbättra den här guiden
Läs vår informationssida för att ta reda på hur du kan hjälpa MSPoweruser upprätthålla redaktionen Läs mer
Under de senaste veckorna har Google generat Microsoft två gånger genom att släppa information om säkerhetsbrister i Windows 10 innan Microsoft var redo att korrigera dem.
Microsoft har nu svarat genom att fördubbla sin buggpremie under en begränsad period, vilket innebär att säkerhetsforskare kan tjäna upp till $30,000 1 om de hittar ett allvarligt fel i vissa Microsoft-tjänster från den 31 mars till den 2017 maj XNUMX.
Att ha buggar som hittats av forskare betalda av Microsoft skulle ge Microsoft mer kontroll över avslöjningsprocessen och låta dem prioritera korrigeringar själva, snarare än att tvingas av det 3-månadersschema som de flesta oberoende forskare använder innan offentliggörandet.
Microsoft erbjuder belöningar för tjänster på följande domäner:
- portal.office.com
- outlook.office365.com
- outlook.office.com
- * .outlook.com
- outlook.com
Den totala listan inkluderar 18 domäner och ytterligare 37 kvalificerade slutpunkter som täcks av standardbug-bounty.
Microsoft vill att forskare ska leta efter nio olika typer av buggar, inklusive:
- Cross Site Scripting (XSS)
- Cross Site Request Forgery (CSRF)
- Obehörig manipulering eller åtkomst av data över flera hyresgäster (för tjänster med flera hyresgäster)
- Osäkra direkta objektreferenser
- Sårbarheter vid injektioner
- Autentiseringssårbarheter
- Kodexekvering på serversidan
- Privilegieupptrappning
- Betydande säkerhetsfelkonfiguration (när den inte orsakas av användaren)
Även om 30,000 200,000 dollar kan låta som mycket, kan säkerhetsforskare belönas mycket mer genom att sälja sitt fynd på Dark Net, rapporterar Enterprise Times, som noterar att en Zero Day-sårbarhet kan ge så mycket som XNUMX XNUMX dollar och att forskare kan tjäna ännu mer om de utvecklar buggen och sälj den som en del av en Malware as a Service-plattform. Detta skulle naturligtvis vara högst olagligt.
Forskare som inte är på den mörka sidan kan läsa mer om bounty-systemet på Technet här.
