🌅 🕧 🚤 हैकर मौन खरीदने के लिए फर्म बग बाउंटी का उपयोग करते हैं 💷 💟 ♈️

बग बाउंटी प्लेटफ़ॉर्म HackerOne, Bugcrowd, और Synack सफेद हैकर्स और कंपनियों के बीच मध्यस्थ के रूप में काम करते हैं जो अपने उत्पादों की सुरक्षा में सुधार करना चाहते हैं। जब सही तरीके से उपयोग किया जाता है, तो तर्क सरल है:

एक हैकर एक भेद्यता की रिपोर्ट करता है।
विकास कंपनी बग को ठीक करती है और हैकर को इस बात के लिए आभार व्यक्त करती है कि उसने सही काम किया।

लेकिन वास्तव में, सब कुछ अलग तरीके से काम करता है। जैसा कि सीएसओ की जांच से पता चला है , कंपनियों और बग-बाउंटी प्लेटफार्मों ने कमजोरियों के प्रकटीकरण को इतना उलट दिया कि हैकर पूर्व नीति निदेशक केटी मुसौरी सहित कई विशेषज्ञ इसे "विकृत" कहते हैं।

संक्षेप में, बग्स को ठीक करने के बजाय, कंपनियां हैकरों को रिश्वत देने के लिए प्राथमिकता देती हैं, जिससे वे पारिश्रमिक का भुगतान करने के लिए एनडीए को एक शर्त के रूप में हस्ताक्षर करने के लिए मजबूर करते हैं। यह मूल रूप से जो हो रहा है उसके तर्क को बदल देता है।

भेद्यता प्रकटीकरण प्रक्रिया

भेद्यता प्रकटीकरण कार्यक्रम (वीडीपी) कई फर्मों के लिए लगभग अनिवार्य आवश्यकता है। उदाहरण के लिए, यूएस फेडरल ट्रेड कमीशन कंपनियों को ऐसी प्रक्रियाओं को अपनाने और खराब सुरक्षा प्रथाओं के लिए जुर्माना लगाने की सिफारिश करता है। होमलैंड सुरक्षा विभाग ने पिछले साल सभी संघीय नागरिक एजेंसियों को भेद्यता प्रकटीकरण प्रक्रिया शुरू करने का आदेश दिया था ।

हालांकि, किसी भी एजेंसी या कंपनी के लिए, VDP एक बहुत बड़ा सिरदर्द है। प्रक्रिया इस प्रकार है: सुरक्षा शोधकर्ता बग की रिपोर्ट करते हैं और इसे ठीक करने के लिए आपको अधिकतम 90 दिन का समय देते हैं। जब समय समाप्त हो जाता है - वे अपने कुछ पसंदीदा पत्रकार को बुलाते हैं और ट्विटर पर भेद्यता के बारे में पूरी जानकारी प्रकाशित करते हैं, और ब्लैक हैट कॉन्फ्रेंस या डीईएफ कॉन में बोलते हैं, अगर यह वास्तव में एक रसदार बग है।

एक ओर, भेद्यता प्रकटीकरण प्रक्रिया कंपनी, समाज और स्वयं सुरक्षा शोधकर्ताओं के हितों के बीच एक निश्चित संतुलन प्रदान करती है, जो अपने काम के लिए मान्यता प्राप्त करते हैं। हालांकि, कई कंपनियां हैं जो अपने शेयरों की कीमत और / या प्रतिष्ठा के बारे में चिंतित हो सकती हैं, ताकि वे जनता को रिपोर्ट करने की आवश्यकता से छुटकारा पाने के लिए पैसा देना पसंद करें।

बग बाउंटी प्लेटफार्म संगठनों को एक आकर्षक विकल्प प्रदान करते हैं। शोधकर्ता गैर-प्रकटीकरण समझौतों (एनडीए) में कमजोरियों की रिपोर्ट करते हैं। वे वास्तव में चुप्पी के लिए भुगतान किया जाता है। फिर कंपनी जो चाहती है वो करती है। हो सकता है कि आप इन बगों को ठीक कर लें जो आपने रिपोर्ट किया था। यह इसे ठीक नहीं कर सकता है, लेकिन आपको इसके बारे में बात करने से मना किया जाता है।

मौन एक कमोडिटी है

मौन एक कमोडिटी है। और ऐसा लगता है कि यह उत्पाद बाजार में मांग में है। मांग आपूर्ति बनाती है। इसलिए, बग-बाउंटी प्लेटफार्मों ने अपनी गतिविधियों को इस तरह से विस्तारित किया है कि वे ग्राहकों को पेश करने के लिए क्या वे भुगतान करने के लिए तैयार हैं।

हैकरऑन पॉलिसी के पूर्व निदेशक केटी मुसौरी का मानना है कि समस्या की जड़ बग बाउंटी प्लेटफार्मों का व्यावसायीकरण है जो तेजी से विकास की तलाश में हैं। उदाहरण के लिए, HackerOne प्रबंधन ने मंच पर 1,000,000 हैकर्स को इकट्ठा करने के लिए एक लक्ष्य निर्धारित किया है। उनके लिए यह महत्वपूर्ण है कि वे किसी भी स्थिति में, किसी भी परिस्थिति में किसी भी आकार की कई कंपनियों को आकर्षित करें।

केटी मुसौरी, पूर्व हैकरऑन नीति निदेशक, लुटा सिक्योरिटी के संस्थापक

"ये व्यावसायिक भेद्यता खोज प्लेटफ़ॉर्म ... पूरे पारिस्थितिक तंत्र को प्रभावित कर रहे हैं, और मैं चाहता हूं कि अगर मैं खुद इसके लिए भुगतान करता हूं तो भी इसे रोकना चाहिए," मुसौरी कहते हैं । HackerOne के नेताओं में से एक के रूप में, उसे एक स्टॉक विकल्प प्राप्त हुआ और हैकरऑन शेयरों की सफल सार्वजनिक पेशकश की स्थिति में एक उदार इनाम पर भरोसा कर सकता है। "मैं अपने व्यक्तिगत वित्तीय लाभ के बावजूद आपसे अपील करता हूं।"

अन्य स्वतंत्र विशेषज्ञ सहमत हैं कि गोपनीयता सूचना सुरक्षा को नुकसान पहुँचाती है: “पुरस्कारों को सबसे अच्छा पारदर्शी और खुला बनाया जाता है। एर्राटा सिक्योरिटी के रॉबर्ट ग्राहम कहते हैं, जितना अधिक आप उन्हें वर्गीकृत करने और एनडीए को स्वीकार करने की कोशिश करते हैं, उतना ही प्रभावी वे कम होते जाते हैं।

जोनाथन लेइटिशु उनके साथ सहमत हैं, जिन्होंने पिछले साल जूम वीडियो कॉन्फ्रेंसिंग कार्यक्रम में एक भयावह भेद्यता का खुलासा किया था (रिमोट कमांड निष्पादन वाले उपयोगकर्ता के ज्ञान के बिना एक स्थानीयहोस्ट पर एक वेब सर्वर स्थापित करना)।

एक स्थानीय शो पर ज़ूम होने पर एक सरल शोषण:

<img src="http://localhost:19421/launch?action=join&confno=492468757"/>

उपयोगकर्ता की अनुमति के बिना वेब कैमरा सक्रियण:

<iframe src="https://zoom.us/j/492468757"/>

जोनाथन लेइटिशु ने 26 मार्च, 2019 को कंपनी को सूचित किया, लेकिन यह भेद्यता को ठीक नहीं करता था, इसलिए ठीक 90 दिनों बाद हैकर ने सार्वजनिक डोमेन में एक विवरण के साथ एक लेख प्रकाशित किया। सूचना व्यापक रूप से फैली और शोर मचाया। उसके बाद, कंपनी ने तुरंत एक पैच जारी किया।

लेकिन हैकर को इनाम नहीं मिला। "यह बग बाउंटी प्लेटफार्मों के साथ समस्याओं में से एक है क्योंकि वे अभी मौजूद हैं। वे कंपनियों को 90-दिन के प्रकटीकरण की अवधि से बचने की अनुमति देते हैं, “वे कहते हैं। - इनमें से कई कार्यक्रम गैर-प्रकटीकरण के इस विचार पर अपना व्यवसाय बनाते हैं। अंत में, ऐसा लगता है कि वे शोधकर्ता की चुप्पी को खरीदने की कोशिश कर रहे हैं । ”

निजी बग बाउंटी

हैकरऑन जैसे प्लेटफार्म गैर-प्रकटीकरण समझौतों में निजी बग बाउंटी कार्यक्रमों के अस्तित्व का उल्लेख करने पर भी प्रतिबंध है । "कंपनी एक्स का बुगक्रोड में एक निजी कार्यक्रम है" जैसा एक ट्वीट हैकर को मंच से बाहर करने के लिए पर्याप्त है।

एक कोड़ा और एक गाजर द्वारा हैकर्स को चुप करा दिया जाता है। जहां गाजर समझ में आता है, यह पैसा है। लेकिन एक चाबुक है: एनडीए समझौते के उल्लंघन के लिए, शोधकर्ताओं को जवाबदेह ठहराया जा सकता है, जिसमें आपराधिक मुकदमा भी शामिल है। वही जिम्मेदारी सैद्धांतिक रूप से हैकर्स को धमकी देती है, जो अपने स्वयं के जोखिम और जोखिम पर, कंपनी के साथ किसी भी समझौते में प्रवेश किए बिना कमजोरियों पर जानकारी प्रकाशित करते हैं, लेकिन बस हैकर नैतिकता के सिद्धांतों और कंपनी की अधिसूचना की तारीख से 90 दिनों की सीमाओं के एक क़ानून द्वारा स्वीकृत होने के कारण निर्देशित किया जाता है।

2017 में, अमेरिकी न्याय विभाग ने प्रकाशित कियासुरक्षा शोधकर्ताओं की सुरक्षा के लिए दिशानिर्देश । दस्तावेज़ के तर्क के अनुसार, अवैध हैकिंग के लिए गंभीर दंड उस नागरिक पर लागू नहीं किया जाना चाहिए जो सार्वजनिक सुरक्षा के बारे में चिंतित है और सार्वजनिक हित में हैकिंग करता है, सही काम करने की कोशिश कर रहा है। लेकिन यह सवाल अदालत के सामने है। यदि हैकर अभियोजन से कानूनी सुरक्षा की गारंटी चाहता है, तो उसे एनडीए पर हस्ताक्षर करना चाहिए, अन्यथा वह कंप्यूटर धोखाधड़ी और दुर्व्यवहार अधिनियम, सीएफएए के अनुसार दस साल या उससे अधिक के कारावास का सामना करेगा। यह है कि निजी बग बाउंटी को कैसे समझा जाना चाहिए।

उदाहरण के लिए, PayPal को लें। संकेत दिया आधिकारिक वेबसाइट परप्रत्येक शोधकर्ता को HackerOne खाता बनाना होगा और NDA सहित उनके निजी बग बाउंटी कार्यक्रम की शर्तों से सहमत होना होगा। यदि आप किसी अन्य तरीके से बग की रिपोर्ट करते हैं, तो पेपाल आपकी सुरक्षा की गारंटी देने से इंकार कर देता है और दावा दायर करने को बाहर नहीं करता है।

यही है, आप केवल एनडीए पर हस्ताक्षर करके भेद्यता की रिपोर्ट कर सकते हैं , और कुछ नहीं। "एक आवेदन प्रस्तुत करने या कार्यक्रम की शर्तों से सहमत होने से, आप सहमत हैं कि आप अपने निष्कर्षों या अपने आवेदन की सामग्री को सार्वजनिक रूप से पेपल के पूर्व लिखित सहमति के बिना किसी भी तरह से तीसरे पक्ष को नहीं बता सकते हैं," दस्तावेज़ कहते हैं ।

NDA के साथ इसी तरह के निजी कार्यक्रम अन्य कंपनियों के लिए भी उपलब्ध हैं जो HackerOne के माध्यम से पुरस्कार देते हैं।

फाउंडेशन के वरिष्ठ वकील एंड्रयू क्रोकर का कहना है, "इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन के दृष्टिकोण से यह अस्वीकार्य है:" EFF का मानना है कि फर्स्ट अमेंडमेंट [टू द यूएस अमेंडमेंट] के तहत सुरक्षा शोधकर्ताओं को अपने शोध पर रिपोर्ट करने का अधिकार है, और कमजोरियों का खुलासा करना बहुत उपयोगी है। " इलेक्ट्रॉनिक फ्रंटियर। उनके अनुसार, कई प्रमुख सुरक्षा शोधकर्ता एनडीए पर हस्ताक्षर करने की आवश्यकता के कारण बग-बाउंटी प्लेटफार्मों पर काम करने से इनकार करते हैं।

उदाहरण के लिए, Google प्रोजेक्ट ज़ीरो प्रोजेक्ट के एक प्रतिष्ठित हैकर, तावीस ओरमंडी ने यह पद संभाला। तावीस ने ईमेल पसंद करते हुए एनडीए पर हस्ताक्षर करने से इंकार कर दिया: "वे नहीं चाहते तो मेरी रिपोर्ट पढ़ सकते हैं, " वे कहते हैं । 90 दिनों के लिए टाइमर अभी भी टिक कर रहा है।

Tavis Ormandy केवल सुरक्षा शोधकर्ता नहीं है जो थूथन से इनकार करता है, CSO लिखता है ।

केविन फिनिस्टर (@ d0tslash) ने $ 30,000 से इनकार कर दिया क्योंकि डीजेआई को शुल्क का भुगतान करने के लिए एनडीए पर हस्ताक्षर करने की आवश्यकता थी, और अपने फैसले पर पछतावा नहीं था। क्योंकि जानकारी के प्रकटीकरण के लिए धन्यवाद, केविन ने सूचना सुरक्षा समुदाय में प्रसिद्धि और सम्मान प्राप्त किया, और अपने करियर की शुरुआत में यह बहुत ही लायक है।

अंत में, एनडीए का अस्तित्व आईएसओ 29147 और आईएसओ 30111 मानकों का अनुपालन नहीं करता है, जो भेद्यता रिपोर्ट प्राप्त करने, इन त्रुटियों को ठीक करने और सिफारिशों को प्रकाशित करने के लिए सर्वोत्तम प्रथाओं को परिभाषित करते हैं। केटी मुसौरी इन मानकों की सह-लेखिका हैं और आश्वस्त करती हैं कि परिभाषा के अनुसार निजी बग बाउंटी इन मानकों को पूरा नहीं कर सकती हैं, जो किसी कंपनी के लिए सूचना प्राप्त करने और प्रसंस्करण के लिए नियमों का वर्णन करती हैं: “जब गैर-प्रकटीकरण बग बाउंटी प्लेटफार्म के माध्यम से त्रुटियों की रिपोर्ट करने के लिए एक शर्त या शर्त है, तो यह मूसुरी कहते हैं, आईएसओ 29147 मानक में वर्णित भेद्यता प्रकटीकरण प्रक्रिया का मूल रूप से उल्लंघन करता है। "मानक का उद्देश्य कमजोरियों पर रिपोर्ट करना और प्रभावित पक्षों के लिए सिफारिशों को जारी करना [पर प्रकाश डालना] संभव है ।"

भेद्यता प्रकटीकरण सिद्धांत का तर्क है कि सार्वजनिक प्रकटीकरण का अल्पकालिक जोखिम, कमजोरियों को ठीक करने, बेहतर सूचना देने वाले उपयोगकर्ताओं और प्रणालीगत सुरक्षा सुधारों के दीर्घकालिक लाभ से आगे निकल जाता है।

दुर्भाग्य से, HackerOne जैसे प्लेटफॉर्म इन सिद्धांतों का पालन नहीं करते हैं। अपने ब्लॉग पोस्ट, द फाइव क्रिटिकल कम्पोनेंट्स ऑफ अ वल्नरेबिलिटी डिस्क्लोजर पॉलिसी में, हैकरऑन ग्राहकों को बताते हैं कि सुरक्षा शोधकर्ताओं को कैसे बंद किया जाए। विशेष रूप से, यह उस अवधि को इंगित नहीं करने की सिफारिश की जाती है जिसके बाद शोधकर्ताओं को उनके काम पर सार्वजनिक रूप से रिपोर्ट करने की अनुमति दी जाती है:

मसूरी के अनुसार, परिपक्व संगठनों को अपने स्वयं के भेद्यता प्रकटीकरण कार्यक्रमों को अपनाना चाहिए। यदि वे संदिग्ध त्रुटि संदेशों के हिमस्खलन के लिए तैयार हैं, तो वे वैकल्पिक रूप से एक बग इनाम इनाम सेट कर सकते हैं, लेकिन हैकरऑन द्वारा प्रतिनिधित्व किए गए बिचौलिए थोड़ी मदद करते हैं: "मैंने उन्हें छोड़ने से पहले कहा," मुसौरी कहते हैं, "यदि आप लोग बीच में संचार को आसान बना सकते हैं। शोधकर्ताओं और विक्रेताओं, यह अच्छा है। लेकिन अगर आप नियंत्रण बेचने की कोशिश कर रहे हैं, तो आप गलत काम कर रहे हैं। ”

हैकर मौन खरीदने के लिए फर्म बग बाउंटी का उपयोग करते हैं

भेद्यता प्रकटीकरण प्रक्रिया

मौन एक कमोडिटी है

निजी बग बाउंटी

More articles: