Microsoft acordă o sumă de securitate de 100.000 USD pentru cercetare inovatoare

Multe companii de software majore vor plăti o „rambursare a erorilor” primei persoane care raportează o anumită gaură de securitate. Sumele de recompensă variază, dar pot varia de la un pat pe spate la mii de dolari. Bounty Bypass de atenuare a Microsoft operează la un nivel distinct mai ridicat. Pentru a solicita recompensa de 100.000 de dolari, o cercetare trebuie să prezinte o tehnică de exploatare complet nouă, care este eficientă cu cea mai recentă versiune de Windows. Acest tip de descoperire este destul de neobișnuit și, totuși, la doar trei luni de la anunțarea acestui program, Microsoft a făcut astăzi primul premiu de 100.000 USD.

O istorie a cooperării

Am vorbit cu Katie Moussouris, liderul strategiei de securitate pentru grupul Microsoft Trustworthy Computing, despre acest premiu și despre istoria Microsoft de a lucra cu cercetătorii și hackerii. Moussouris s-a alăturat în urmă cu aproximativ șase ani și jumătate ca strateg de securitate, dar „a existat o istorie lungă în care Microsoft s-a angajat cu cercetători și hackeri, chiar înainte de vremea mea”.

Moussouris a dat ca exemplu cercetătorii care au descoperit vulnerabilitatea care a alimentat viermele Blaster. "Înalți oficiali Microsoft i-au vizitat în Polonia", a spus ea. "Au fost recrutați… Încă lucrează cu noi în ultimul deceniu."

Ea a menționat că conferințele BlueHat obișnuite ale Microsoft „aduc hackeri la Microsoft pentru a se întâlni cu oamenii noștri, pentru a educa și a se distra și pentru a ne asigura produsele mai sigure”. În 2012, concursul Microsoft BlueHat Award a acordat peste 250.000 USD trei cercetători academici care au venit cu inovații niciodată văzute.

Bănci curente

"Acum trei luni am lansat trei noi recompense", a spus Moussouris, "două dintre acestea fiind încă active". În primele 30 de zile ale previzualizării Internet Explorer 11, Microsoft a oferit recompense banale obișnuite. "Mulți cercetători au ținut cont, nu au raportat erori, așteptând eliberarea finală", a remarcat Moussouris. "Am decis să-i încurajăm să depună aceste rapoarte." La sfârșitul perioadei de 30 de zile a programului respectiv, șase cercetători au revendicat sume de erori în valoare totală de peste 28.000 USD.

Bounty Bypass Biefy recompensează în mod special cercetătorii care descoperă o metodă de exploatare cu totul nouă. „Dacă nu știam deja despre programarea orientată spre întoarcere”, a spus Moussouris, „descoperirea ar fi câștigat 100.000 USD”. Nu este doar o cercetare plăcută în cer. Un cercetător care dorește să solicite această recompensă trebuie să furnizeze un program de probă a conceptului de lucru care să demonstreze tehnica de exploatare.

„Au fost doar trei moduri în care o organizație putea afla despre aceste atacuri în trecut”, a remarcat Moussouris. "În primul rând, cercetătorii noștri interni ar veni cu ceva. În al doilea rând, acesta ar apărea într-un concurs de exploatare precum Pwn2Own. În al treilea rând, și cel mai rău, ar ieși la suprafață într-un atac activ." Ea a explicat că actualul program de recompense este disponibil pe tot parcursul anului, nu doar la o competiție. "Dacă ești un cercetător care dorește să joace frumos, care vrea să protejeze oamenii, există o sumă disponibilă acum . Nu trebuie să aștepți."

Si castigatorul este...

Moussouris estimează că descoperirile suficient de mari pentru a merita o recompensă se întâmplă doar la fiecare trei ani. Echipa ei a fost surprinsă și încântată să găsească un destinatar demn la doar trei luni de la începerea programului de recompense. James Forshaw, șeful Cercetării Vulnerabilității pentru Securitatea Informațiilor în Context, bazat în Marea Britanie, devine primul care primește Bounty Bypass Mitigation.

Într-un e-mail către SecurityWatch, Forshaw a spus acest lucru: "Microsoft Mitigation Bypass Bounty este foarte important pentru a ajuta la transferul concentrarii programelor de recompense de la ofensivă la apărare. Încurajează cercetătorii ca mine să angajeze timp și efort pentru a asigura securitatea în profunzime, mai degrabă decât căutând numărul total de vulnerabilități. " Forshaw a continuat: "Pentru a găsi intrarea mea câștigătoare, am studiat atenuările disponibile astăzi, iar după brainstorming am identificat câteva unghiuri potențiale. Nu toate au fost viabile, dar după o anumită persistență am avut succes în cele din urmă."

Cât despre exact ce a descoperit Forshaw, asta nu va fi dezvăluit imediat. Întregul sens este să acordăm timp Microsoft pentru a stabili apărarea înainte ca cei răi să facă aceeași descoperire, până la urmă!