Dansk sikkerhedsfirma lokker med præmier for sårbarheder

Annonceindlæg fra Barco

De vigtigste samarbejdstrends, som enhver IT-leder bør holde øje med

I lang tid har samarbejdsbranchen fokuseret på at forbedre enhedsfunktioner – bedre kameraer, klarere lyd og smartere software. Men den virkelige forvandling handler ikke om funktioner.

Det danske it-sikkerhedsfirma Secunia har startet et nyt initiativ, der belønner sikkerhedsforskere for at indrapportere sårbarheder i software. Det såkaldte Secunia Vulnerability Coordination Reward Program (SVCRP) lokker med både små og store præmier - men ikke penge.

I modsætning til f.eks. Tipping Points Zero Day Initiative og Verisigns iDefense, hvor man udbetaler femcifrede dollar-beløb, lokker Secunia med "merchandise-artikler" og gratis overnatning og entre til en it-sikkerhedskonference.

"Den sjove del er processen med at finde og forstå sårbarheder samt at udvikle proof-of-concept kode og exploits; og ikke den langvarige koordinering og forhandling med leverandøren for at få ordnet problemet. I det nye program vil vi både bekræfte sårbarheden og håndtere koordinations-processen, så forskere kan fokusere på de mere interessante aspekter af jagten på sårbarheder," siger Carsten Eiram, der er chief security specialist hos Secunia.

Han fortæller at  SVCRP skal supplere - men ikke erstatte - andre lignende præmieordninger. Secunia tilbyder at foretage en grundig teknisk undersøgelse for at bekræfte sårbarheden og samarbejde med softwareleverandøren om at rette problemet. Dermed kommer Secunia altså til at fungere som et mellemled mellem den person der har fundet sårbarheden og softwareleverandøren.

Secunia fortæller at firmaets egne kunder ikke får adgang til forhåndsoplysninger om sårbarhederne - og finderne kan stadig få en kontant belønning fra leverandøren, hvis denne tilbyder en sådan ordning.

Både Facebook, Google og Mozilla tilbyder penge for sårbarheder. Facebook betaler mindst 500 dollar for hvert hul - og i enkelte tilfælde det tidobbelte.

Mozilla har udbetalt 3.000 dollar til en 12-årig dreng for opdagelsen af et sikkerhedshul.

Google har et lignende Security Bug Bounty Program, som lokker med præmier på helt op til 3.133 dollar for sikkerhedshuller i næsten alle Google-tjenester og webapplikationer.

Betingelserne for at deltage er generelt, at man ikke må udføre denial-of-service angreb mod tjenesterne eller forvolde skade på andre måder.