Facebook récompense les chasseurs de bogues
D'une prime de 500 $ pour chaque vulnérabilité découverte
Le 2011-08-01 22:50:17, par Idelways, Expert éminent sénior
500 dollars américain, est la prime que l'on recevra pour chaque vulnérabilité découverte sur la plateforme de Facebook, le numéro un mondial des réseaux sociaux.
Cette récompense, officiellement destinée à « montrer sa reconnaissance aux chercheurs en sécurité », ne sera versée que si son découvreur respecte à la lettre la « politique de divulgation responsable » qui exige notamment qu'un « temps raisonnable » soit accordé à l'entreprise avant de rendre publics les détails de la faille.
En outre, le découvreur devra faire preuve « de bonne foi » pour éviter toute violation de la vie privée, la destruction des données ou la dégradation du service durant le processus de découverte et de preuve de faisabilité.
Les bogues concernés doivent être tout de même assez sérieux, au point de compromettre l'intégrité ou la confidentialité des données des utilisateurs du réseau social. Les vulnérabilités admises se limiteront aux types Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF/XSRF) et les attaques par injection distante de code.
Facebook rejoint donc le club de plus en plus tendance des entreprises qui récompensent les « gentils hackers » pour leur découverte. Google et Mozilla sont les précurseurs du domaine parmi les grands acteurs du Web, bien que leurs primes soient nettement plus alléchantes que celle de Facebook.
Que Facebook lésine sur le montant de ses primes est-il pour autant une preuve que son code est potentiellement criblé de failles ? Cette chasse aux bogues nous le fera bientôt savoir.
Ce programme est en tout cas déjà critiqué, par Sophos notamment, la sécurité de Facebook pouvant être améliorée via trois points n'ayant aucun lien avec la recherche de vulnérabilités :
D'autres détracteurs diront qu'au prix d'un audit de sécurité, ce programme est un bon moyen d'obtenir des audits à bas coûts.
Source : Facebook, Sophos
Et vous ?
Co-écrit avec CervoiseMD
Cette récompense, officiellement destinée à « montrer sa reconnaissance aux chercheurs en sécurité », ne sera versée que si son découvreur respecte à la lettre la « politique de divulgation responsable » qui exige notamment qu'un « temps raisonnable » soit accordé à l'entreprise avant de rendre publics les détails de la faille.
En outre, le découvreur devra faire preuve « de bonne foi » pour éviter toute violation de la vie privée, la destruction des données ou la dégradation du service durant le processus de découverte et de preuve de faisabilité.
Les bogues concernés doivent être tout de même assez sérieux, au point de compromettre l'intégrité ou la confidentialité des données des utilisateurs du réseau social. Les vulnérabilités admises se limiteront aux types Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF/XSRF) et les attaques par injection distante de code.
Facebook rejoint donc le club de plus en plus tendance des entreprises qui récompensent les « gentils hackers » pour leur découverte. Google et Mozilla sont les précurseurs du domaine parmi les grands acteurs du Web, bien que leurs primes soient nettement plus alléchantes que celle de Facebook.
Que Facebook lésine sur le montant de ses primes est-il pour autant une preuve que son code est potentiellement criblé de failles ? Cette chasse aux bogues nous le fera bientôt savoir.
Ce programme est en tout cas déjà critiqué, par Sophos notamment, la sécurité de Facebook pouvant être améliorée via trois points n'ayant aucun lien avec la recherche de vulnérabilités :
- Mise en place du "HTTPS Everywere",
- Contrôler les développeurs d'application,
- Ne pas diffuser d'informations privées par défaut.
D'autres détracteurs diront qu'au prix d'un audit de sécurité, ce programme est un bon moyen d'obtenir des audits à bas coûts.
Source : Facebook, Sophos
Et vous ?
Co-écrit avec CervoiseMD
-
KiiwiMembre chevronnéJe préfère de loin cette méthode de compensation continue des bogues trouvés, que le système "concours" (comme par exemple le dernier sur les failles de sécurités d'Android), qui incite à garder une faille de sécurité pour soi jusqu'au début du concours.le 02/08/2011 à 0:14
-
ludojojoExpert confirméC'est surtout un bon business plan !D'autres détracteurs diront qu'au prix d'un audit de sécurité, ce programme est un bon moyen d'obtenir des audits à bas coûts.
500$ Par faille trouvée, c'est plus rapide et plus performant que de payer quelqu'un à le faire! De plus cela permet d'avoir une multitude d'approches différentes, ce qu'une seule personne ne pourrait faire.
De ce point de vu, FB est très fort ! Une fois encore...
C'est fort probable, car si le code était sûr, il pourrait faire monter les enchères pour attirer plus de monde... Il ne s'agit peut être que d'une première phase avec une augmentation plus tard.Que Facebook lésine sur le montant de ses primes est-il pour autant une preuve que son code est potentiellement criblé de failles ? Cette chasse aux bogues nous le fera bientôt savoir.le 02/08/2011 à 9:10 -
kolodzModérateurLors ce que Mozilla à lancer l'histoire des primes, je me suis dit :
Pour google, je n'étais pas au fait...C'est cool venant de la part d'une fondation qui doit faire attention à son budget
Pour ce qui est de facebook, personnellement, je ne sais pas si c'est :
- Une mise à niveau dans la guerre d'image Facebook vs Google.
- Un besoin pour se prémunir du cyber-activisme qu'il y a en ce moment.
- Une volonté d'aller dans le bon sens des dirigeants de FaceBook.
Pour les 500$, c'est pour une prime "normal"
Reste à savoir comment serai gérer une faille exceptionnel.A typical bounty is $500 USD
Si j'étais chargé de communication à la première vraie grosse faille, je sors le chéquier, je lâche une somme assez raisonnable.
Et on en discutera dans tout les bon forum...
Pour le coup, c'est une opération gagnant-gagnant pour FaceBook.Même si le processus reste au niveau de la détection.Que pensez-vous de cette chasse aux primes et de ce mode de détection des bogues ?
Cela est toujours très largement moins cher que de payer un ingénieur pour ce travail.
Et il n'y a pas des millions de failles à détecter...le 01/08/2011 à 23:20 -
trashyquakerMembre du ClubAux US, un développeur se prends 75/80k$ à la sortie de l'école...Certes, le prix d'un audit pro est très loin de la centaine de dollars, et 500$, c'est l'équivalent de 2j de salaire d'un développeur à 45k$.
Ça permet tout simplement de payer au résultat et non au temps de travail. De plus cela permet de placer x développeurs sur le même bug, et de payer seulement le plus rapide d'entre eux...
Vraiment le bon plan pour un employeur!le 02/08/2011 à 17:25 -
Jonas0122Nouveau membre du Club500$.. tellement peu, avec ce genre de failles un hacker peux récupérer facilement de quoi se faire 10x cette somme..le 02/08/2011 à 0:08
-
supertonicMembre avertiWaouwe ! Mais quelle générosité !le 02/08/2011 à 10:16
-
Jean-Loup RichetMembre régulier500$.. tellement peuVous abusez un peu làWaouwe ! Mais quelle générosité !
Certes, le prix d'un audit pro est très loin de la centaine de dollars, et 500$, c'est l'équivalent de 2j de salaire d'un développeur à 45k$. Donc peu de choses au final. Mais l'objectif de Facebook est celui d'un 'crowdsourcer' : compter sur le nombre pour corriger des failles, et faire appel aux chercheurs SSI débutants ou 'loisirs'. Bien sûr que c'est peu comparé au salaire d'un professionnel, mais pour un étudiant en informatique ou un professionnel de la sécurité qui chasse pendant son temps libre, cela permettra de payer un bon resto :-)le 02/08/2011 à 11:39 -
kdmbellaExpert éminentje pense également que les principalles vulnérabilités de facebook proviennent des applications tiers et pour s'en prémunir il devrait avoir un système de validation des applications vraiment performant.le 02/08/2011 à 13:18
-
Mohamed EL BéjiFutur Membre du ClubBonjour !
Est si je trouve une faille je l'envoi à qui ... précisément à quelle emaille 03/08/2011 à 9:10 -
KiiwiMembre chevronnéhttps://www.facebook.com/whitehat/bounty/
https://www.facebook.com/whitehat/report/
voila Mohamed EL Béjile 03/08/2011 à 13:42