Programy typu bug bounty prowadzi niemal każdy liczący się producent oprogramowania. Pozwala to zarówno hakerom, jak i pentesterom zaprezetować swoje zdolności i dobrze na tym zarobić. Wiąże się z tym też niewątpliwy prestiż w środowisku. Tego typu programy Microsoft prowadzi regularnie od lat. Ostatnia edycja Windows Bounty Program pozwala wygrać nawet 250 tys. dolarów. Jakie są warunki?
Najnowsza odsłona programu tropienia błędów skupia się na wyselekcjonowanej grupie produktów. Największe nagrody (5-250 tys. dolarów) oferowane są dla Hyper-V, najniższe (500-30 tys.) - za Windows Insider Preview w kręgu Slow. Microsoft jest ponadto zainteresowany takimi obszarami, jak obejście zabezpieczeń i błędy w ochronie, Windows Defender Application Guard i Microsoft Edge. Rzecz jasna nie każdy, kto zgłosi jakąkolwiek usterkę, zostanie z miejsca obsypany złotem. Windows Bounty Program posiada własny zbiór reguł, których przestrzeganie jest warunkiem wypłacenia nagrody.
Najważniejsze założenia aktualnego Windows Bounty Program:
- Nagroda zostanie przyznana za wszystkie ważne podatności związane ze zdalnym wykonaniem kodu, podniesieniem uprawnień lub z designem, które naruszają prywatność i bezpieczeństwo użytkownika;
- Program tropienia został uruchomiony na czas nieokreślony;
- Wypłaty nagród mieszczą się w przedziale 500 USD - 250 000 USD;
- Jeśli badacz zgłosi kwalifikującą się podatność, która została wcześniej znaleziona wewnętrznie w Microsoft, wypłata dla pierwszego znalazcy będzie wynosić maksymalnie 10% z najwyższej nagrody dla danego obszaru;
- Wszystkie błędy bezpieczeństwa są dla Microsoft istotne - można je zgłaszać na skrzynkę secure@microsoft.com zgodnie ze zbiorem zasad Coordinated Vulnerability Disclosure (CVD);
- Szczegółowe cele i obszary skupienia przedstawiono w tabeli:
Czy warto polować na błędy? Oferta przedstawiona przez Microsoft nie pozwala chyba zaprzeczyć. Ćwierć miliona dolarów to prawdopodobnie więcej, niż ceny najlepszych exploitów na czarnym rynku, dlatego Windows Bounty Program może przyciągnąć też hakerów działających po ciemnej stronie mocy.
