Intel tente de sauver la face avec un programme de Bug Bounty primant jusqu'à 250 000 dollars
Afin d'éviter un nouvel épisode Meltdown

Le , par Victor Vincent, Chroniqueur Actualités
Intel a lancé un programme public de Bug Bounty qui prévoit des récompenses individuelles allant jusqu’à 250 000 dollars, a annoncé la société dans un communiqué de presse. Ce programme n’est pas le premier du genre ouvert par la société. En effet, Intel avait déjà lancé un programme similaire, mais celui-ci était limité aux soumissions de quelques chercheurs en sécurité sélectionnés par la société.

Le nouveau programme de Bug Bounty sera hébergé sur la plateforme HackerOne et Intel a ouvert son matériel, son Firmware et ses logiciels pour l’occasion. Tout chercheur en sécurité possédant un compte HackerOne peut désormais rechercher une liste de bogues dans les produits Intel tels que les processeurs, le code du chipset, les SSD, les cartes mères, les cartes réseau et leurs microprogrammes, mais aussi les pilotes et applications pour les différents systèmes d’exploitation.

Selon la nature des bogues qu’ils trouveront, les chercheurs pourraient gagner entre 500 et 250 000 dollars. Le programme est en réalité divisé en deux parties. Une première qui est le programme normal de récompense, illimité dans le temps, avec des primes allant de 500 à 100 000 dollars. La seconde partie du programme va récompenser les chercheurs qui auront découvert des bogues causés par le matériel d’Intel ainsi que les bogues exploitables par un logiciel. Cette partie du programme sera ouverte jusqu’au 31 décembre 2018.

C’est donc les chercheurs qui auront découvert des bogues classés dans la deuxième partie du programme qui seront les mieux récompensés. En effet, les primes pour ces bogues peuvent aller de 5 000 $ à 250 000 dollars. Selon Intel, les bogues classés dans cette catégorie sont les vulnérabilités liées à la conception matérielle du composant et celles qui sont exploitables par un logiciel local. C’est dans cette catégorie que se classent d’ailleurs les vulnérabilités Meltdown et Spectre.

Intel déclare qu’il va payer les chercheurs en fonction de l’échelle de gravité CVSS v3.0 de la vulnérabilité. Meltdown (CVE-2017-5754), Spectre Variante 1 (CVE-2017-5753) et Spectre Variante 2 (CVE-2017-5715) ont le même score de sévérité CVSS de 5,9. Cela signifie que, selon le tableau ci-dessus, chacun de ces bogues aurait permis aux chercheurs d’obtenir un maximum de 20 000 dollars et un total de 60 000 dollars.


Grâce à son nouveau programme de Bug Bounty, Intel tente d’effacer l’image d’un processus de patch qui s’est avéré désastreux. En effet, la société a été avisée des bogues de Meltdown et de Spectre en juin 2017, mais il a fallu quatre mois à la société pour avertir les équipementiers des problèmes. Malgré cela, lorsque les vulnérabilités ont été divulguées publiquement, Intel n’avait pas de correctifs CPU disponibles à fournir aux différents équipementiers. Jusqu’à ce jour, les vulnérabilités Meltdown et Spectre ne sont pas encore totalement corrigées.

Source : Hackerone

Et vous ?

Que pensez-vous de ce programme lancé par Intel ?

Voir aussi

Vulnérabilités Meltdown et Spectre : Intel devrait livrer ses premiers processeurs dotés de protections intégrées au plus tard cette année

Apple pourrait se tourner de façon exclusive vers Intel pour équiper ses prochains iPhone en modems et délaisser Qualcomm

Meltdown et Spectre : Intel publie un nouveau microcode pour la plateforme SkyLake. Des correctifs pour Broadwell et Haswell sont déjà en tests


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse Signaler un problème

Avatar de Omote Omote - Membre averti https://www.developpez.com
le 15/02/2018 à 22:25
Si Meltdown et Spectre sont des faille à 20K$, je me demande à quoi doit correspondre une faille à 250K$... Il faut que cela puisse déclencher une guerre nucléaire?
Avatar de joublie joublie - Membre averti https://www.developpez.com
le 16/02/2018 à 1:13
Ça frôle carrément les bons d'achat. Quelle mesquinerie !
Avatar de - https://www.developpez.com
le 16/02/2018 à 13:35
En rapport avec l'actualité et j'ai eu l'info ailleurs...

https://www.theregister.co.uk/2018/02/14/meltdown_spectre_exploit_variant/


Toujours aucun correctif pour CPU Intel® Atom™ x3-C3200 Quad-Core, 64bit...
J'ai pourtant une tablette ASUS avec adresse MAC ayant encore "77" et qui n'a pourtant rien reçu comme mise à jour récente...
Seul l'antivirus en reçois et je me demande bien où le constructeur à vue qu'il y avait matériellement une connectique 3G ou pour carte SIM ?

 
Contacter le responsable de la rubrique Accueil