Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Facebook récompense les chasseurs de bogues
D'une prime de 500 $ pour chaque vulnérabilité découverte

Le , par Idelways

0PARTAGES

2  0 
500 dollars américain, est la prime que l'on recevra pour chaque vulnérabilité découverte sur la plateforme de Facebook, le numéro un mondial des réseaux sociaux.

Cette récompense, officiellement destinée à « montrer sa reconnaissance aux chercheurs en sécurité », ne sera versée que si son découvreur respecte à la lettre la « politique de divulgation responsable » qui exige notamment qu'un « temps raisonnable » soit accordé à l'entreprise avant de rendre publics les détails de la faille.

En outre, le découvreur devra faire preuve « de bonne foi » pour éviter toute violation de la vie privée, la destruction des données ou la dégradation du service durant le processus de découverte et de preuve de faisabilité.

Les bogues concernés doivent être tout de même assez sérieux, au point de compromettre l'intégrité ou la confidentialité des données des utilisateurs du réseau social. Les vulnérabilités admises se limiteront aux types Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF/XSRF) et les attaques par injection distante de code.

Facebook rejoint donc le club de plus en plus tendance des entreprises qui récompensent les « gentils hackers » pour leur découverte. Google et Mozilla sont les précurseurs du domaine parmi les grands acteurs du Web, bien que leurs primes soient nettement plus alléchantes que celle de Facebook.

Que Facebook lésine sur le montant de ses primes est-il pour autant une preuve que son code est potentiellement criblé de failles ? Cette chasse aux bogues nous le fera bientôt savoir.

Ce programme est en tout cas déjà critiqué, par Sophos notamment, la sécurité de Facebook pouvant être améliorée via trois points n'ayant aucun lien avec la recherche de vulnérabilités :
  • Mise en place du "HTTPS Everywere",
  • Contrôler les développeurs d'application,
  • Ne pas diffuser d'informations privées par défaut.


D'autres détracteurs diront qu'au prix d'un audit de sécurité, ce programme est un bon moyen d'obtenir des audits à bas coûts.

Source : Facebook, Sophos

Et vous ?

Que pensez-vous de cette chasse aux primes et de ce mode de détection des bogues ?

Co-écrit avec CervoiseMD

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Kiiwi
Membre chevronné https://www.developpez.com
Le 02/08/2011 à 0:14
Je préfère de loin cette méthode de compensation continue des bogues trouvés, que le système "concours" (comme par exemple le dernier sur les failles de sécurités d'Android), qui incite à garder une faille de sécurité pour soi jusqu'au début du concours.
3  0 
Avatar de ludojojo
Expert confirmé https://www.developpez.com
Le 02/08/2011 à 9:10
D'autres détracteurs diront qu'au prix d'un audit de sécurité, ce programme est un bon moyen d'obtenir des audits à bas coûts.
C'est surtout un bon business plan !
500$ Par faille trouvée, c'est plus rapide et plus performant que de payer quelqu'un à le faire! De plus cela permet d'avoir une multitude d'approches différentes, ce qu'une seule personne ne pourrait faire.

De ce point de vu, FB est très fort ! Une fois encore...
Que Facebook lésine sur le montant de ses primes est-il pour autant une preuve que son code est potentiellement criblé de failles ? Cette chasse aux bogues nous le fera bientôt savoir.
C'est fort probable, car si le code était sûr, il pourrait faire monter les enchères pour attirer plus de monde... Il ne s'agit peut être que d'une première phase avec une augmentation plus tard.
3  0 
Avatar de kolodz
Modérateur https://www.developpez.com
Le 01/08/2011 à 23:20
Lors ce que Mozilla à lancer l'histoire des primes, je me suis dit :
C'est cool venant de la part d'une fondation qui doit faire attention à son budget
Pour google, je n'étais pas au fait...

Pour ce qui est de facebook, personnellement, je ne sais pas si c'est :
- Une mise à niveau dans la guerre d'image Facebook vs Google.
- Un besoin pour se prémunir du cyber-activisme qu'il y a en ce moment.
- Une volonté d'aller dans le bon sens des dirigeants de FaceBook.

Pour les 500$, c'est pour une prime "normal"
A typical bounty is $500 USD
Reste à savoir comment serai gérer une faille exceptionnel.
Si j'étais chargé de communication à la première vraie grosse faille, je sors le chéquier, je lâche une somme assez raisonnable.
Et on en discutera dans tout les bon forum...

Pour le coup, c'est une opération gagnant-gagnant pour FaceBook.

Que pensez-vous de cette chasse aux primes et de ce mode de détection des bogues ?
Même si le processus reste au niveau de la détection.
Cela est toujours très largement moins cher que de payer un ingénieur pour ce travail.
Et il n'y a pas des millions de failles à détecter...
1  0 
Avatar de trashyquaker
Membre du Club https://www.developpez.com
Le 02/08/2011 à 17:25
Certes, le prix d'un audit pro est très loin de la centaine de dollars, et 500$, c'est l'équivalent de 2j de salaire d'un développeur à 45k$.
Aux US, un développeur se prends 75/80k$ à la sortie de l'école...

Ça permet tout simplement de payer au résultat et non au temps de travail. De plus cela permet de placer x développeurs sur le même bug, et de payer seulement le plus rapide d'entre eux...

Vraiment le bon plan pour un employeur!
1  0 
Avatar de Jonas0122
Membre à l'essai https://www.developpez.com
Le 02/08/2011 à 0:08
500$.. tellement peu, avec ce genre de failles un hacker peux récupérer facilement de quoi se faire 10x cette somme..
0  0 
Avatar de supertonic
Membre actif https://www.developpez.com
Le 02/08/2011 à 10:16
Waouwe ! Mais quelle générosité !
1  1 
Avatar de Jean-Loup Richet
Membre régulier https://www.developpez.com
Le 02/08/2011 à 11:39
500$.. tellement peu
Waouwe ! Mais quelle générosité !
Vous abusez un peu là
Certes, le prix d'un audit pro est très loin de la centaine de dollars, et 500$, c'est l'équivalent de 2j de salaire d'un développeur à 45k$. Donc peu de choses au final. Mais l'objectif de Facebook est celui d'un 'crowdsourcer' : compter sur le nombre pour corriger des failles, et faire appel aux chercheurs SSI débutants ou 'loisirs'. Bien sûr que c'est peu comparé au salaire d'un professionnel, mais pour un étudiant en informatique ou un professionnel de la sécurité qui chasse pendant son temps libre, cela permettra de payer un bon resto :-)
0  0 
Avatar de kdmbella
Expert éminent https://www.developpez.com
Le 02/08/2011 à 13:18
je pense également que les principalles vulnérabilités de facebook proviennent des applications tiers et pour s'en prémunir il devrait avoir un système de validation des applications vraiment performant.
1  1 
Avatar de Mohamed EL Béji
Futur Membre du Club https://www.developpez.com
Le 03/08/2011 à 9:10
Bonjour !
Est si je trouve une faille je l'envoi à qui ... précisément à quelle email
0  0 
Avatar de Kiiwi
Membre chevronné https://www.developpez.com
Le 03/08/2011 à 13:42
https://www.facebook.com/whitehat/bounty/

https://www.facebook.com/whitehat/report/

voila Mohamed EL Béji
0  0