Sorularınızın her birini yanıtlamak için:

1. Temel olarak nasıl devam edeceğiz, hatta yapmalıyız?

Devam etmenizi öneririm. Şirketinizin güvenliğini artırmak için hemen kullanılabilecek değerli bilgiler elde edebileceksiniz. Araştırmacının size ne gönderdiğini bize söylemediniz, ancak ya güvenlik açığının bir açıklaması ya da onu yeniden üretme yöntemleri olacak. Devam etmek için onlardan ihtiyacınız olacak:

• Bulunan güvenlik açığının bir açıklaması / saldırı senaryosu. Bu neden bir sorun? Hata, bir saldırganın yapmaması gereken bir şeyi yapmasına özellikle izin veriyor, bulgunun en kötü senaryosu / ciddiyeti nedir?

• Üreme aşamaları. Herhangi bir mühendise hangi adımları atabilir ve her seferinde hatayı yeniden üretmelerine izin verebilirsiniz.

• Karşılığında bilgisayar korsanının aradığı şey. Belirtildiği gibi, bulguyu sabitledikten veya paradan sonra yayınlama izni olabilir.

• Ayrıca araştırmacıdan iyileştirme önerileri, risk puanları vb. isteyebilir veya alabilirsiniz.

ÇOK ÖNEMLİ: Araştırmacıya, sorun çözülene kadar sorunu gizli tutmasını beklediğinizi açıklayın. Bir düzeltme penceresi ile karşı çıkabilir, örneğin 60 gün içinde sorun çözülmezse yayınlayıp makale yazabilirler. Bu yaygın bir uygulamadır ve güçlü bir güvenlik duruşuna sahip çoğu şirket için kabul edilebilir olmalıdır.

2. Beyaz (şapkalı) bir bilgisayar korsanının ortak beklentisi nedir?

Araştırmacıya bağlıdır, ancak büyük olasılıkla bulguyu düzeltildikten sonra yayınlamak için parasal bir ödülün yanı sıra izin isteyeceklerdir. Ödül fiyatları, ödül programının genel ciddiyetine ve boyutuna bağlıdır. Büyük bir hata ödül platformu olan Hackerone, şirketin / ödül programının boyutuna göre ödemeleri öneren bir matrise sahiptir: https://www.hackerone.com/resources/bug-bounty-basics. Ödeme fiyatını belirlemek ince bir sanattır - Benzer hatalar için hackerone veya diğer böcek ödül platformlarını araştırmanızı ve ödemenizi diğer şirketlerin aynı sorun için ne kadar ödediğine dayandırmanızı öneririm.

Yine, araştırmacıların ortak bir beklentisi olacaktır bulguyu o zamana kadar düzeltilip düzeltilmediğine bakılmaksızın belirli bir süre içinde yayınlayabilmeleridir. 60 gün yaygındır, ancak şirketinizin o pencerede teslimat yapabileceğinden emin değilseniz, belirli bir süre kabul etmem. Sorun düzeltildikten sonra, bilgisayar korsanı düzeltmenin doğru şekilde uygulandığını doğrulamak isteyebilir.

3. Nasıl doğrulanır?

Bilgisayar korsanının size verdiği yeniden üretim adımlarını kullanın. Herhangi bir mühendisin adımları tam olarak uygulayabileceği ve hatayı yeniden oluşturabileceği kadar açık olmalıdırlar. Burada herhangi bir sorun varsa araştırmacıya geri dönebilir ve açıklama alabilirsiniz. Hatayı özetleyen ve tanımlayan yeniden üretim adımlarını şirkete sağlamak araştırmacıların sorumluluğundadır.

Sorun çözüldükten sonra, araştırmacıyı düzeltmeyi doğrulamaya ve tamamen yamalandığından emin olmaya davet edebilirsiniz.

Hackenproof, herkesin kaydolabileceği bir web sitesi gibi görünüyor, bu nedenle Hackproof üyesi olduğunuzu söylemek, Facebook üyesi olduğunuzu söylemekle eşdeğerdir. Bu, özel bir hacker grubu değil.

Böyle bir durumda ilerlemenin resmi bir standart yolu yoktur, çünkü şirketiniz, işiniz, hata ve beyaz şapka büyük ölçüde değişecektir. Tek bir beden her şeye uymaz.

Genel olarak dikkatli ama meraklı olmanız önerilir. Dikkatli olun ama paranoyak ve kinci davranmayın. Beyaz şapkaya herhangi bir dahili bilgi vermeyin, çok az şey açığa çıkarırken veya hiçbir şey ifşa etmeden mümkün olduğunca fazla bilgi almaya çalışın. Bu insanların çoğu kendi uzmanlıklarını göstermek için konuşmayı sever. Bırakın yapsınlar. Bilgi yalnızca tek yönlü akarsa meydana gelebilecek çok az zarar vardır. Ondan kaynak kodunu veya sorunun ayrıntılı bir açıklamasını isteyin. Ardından kodu / açıklamayı analiz edin ve kendi istismarınızı yazın (ve beyaz şapkalar kodunu derlemeyin veya çalıştırmayın), tercihen başka bir ortamdan mümkün olduğunca izole bir test örneğine karşı çalıştırın.

As Her bir tarafın sorumluluklarına gelince, bugünlerde beyaz şapka korsanları olduğunu iddia eden çoğu insan, sorumlu bir açıklama pratiği yapacak ve hata düzeltilinceye kadar dünyaya yaymayacaktır. Sorumluluğunuz, hatayı makul bir süre içinde (birkaç hafta, yıllar değil) düzeltmektir (yeterince ciddiyse). Şirketiniz ödül veriyorsa, hata kriterleri karşılıyorsa ödenmesi gerekir. Aksi takdirde, beyaz şapka kendilerine muhtemelen ödeme yapılmayacağını kabul etmelidir, ancak hatayı makul bir süre içinde düzeltilmezse kamuoyuna açıklayabileceklerini de kabul etmelisiniz.

Burada katı kurallar olduğunu bilmiyorum.Bunu oyun teorisi olarak ele alalım:

Araştırmacının istediği

Genellikle:

• CVE veya bir CVE gibi keşif içinaraştırma makalesi.
• Bazen böcek ödülü biçiminde para.

Ne istiyorsun

Genellikle:

• Açıkça aşağılanmamak.
• Ürününüzün güvenliğini artırmak için.

Nasıl devam edilir

Bir oyun teorisindenbakış açısına göre, kazan-kazan durumu, onların ayrıntıları size ifşa etmeleri, sizin düzeltmeniz ve kamuya açık kredilerini almalarıdır.Araştırmacı ile bir telefon görüşmesi ayarlamalı ve bir demo istemelisiniz - çok şey kazanacak ve hiçbir şey kaybetmeyeceksiniz.Araştırmacının, ayrıntıları size göstermeye istekli olmadan önce, sonunda kredilerini almasını sağlayacak bir Gizlilik Sözleşmesi veya başka bir yasal sözleşme isteyebileceğini unutmayın.

Bunda da oldukça yeni olduklarını belirtmeye değer olabilirim, pek çok "artı" var ve bu şekilde para kazanıyorsanız, muhtemelen bir sürecin var, ancak bu normalde bir şirketle bazı anlaşmaları gerektirir işe başlamadan önce.Ama o zaman bile şirketlere ve işin türüne göre değişir.

Yine de bu bana bir meraklı gibi geliyor.Adamla konuşmaktan kaybedecek bir şey olduğundan gerçekten şüpheliyim.Gerçekçi olmayan beklentileri olabilir, ancak ne kaybedersiniz?

Yan not, bu küçümseyici davranırsa özür dilerim, ama bunun söylenmesi gerektiğini düşünüyorum: En azından bunun sizin varlığınıza bir giriş yolu olması düşünülebilir. 'had ', "sisteminizin bazı uygulama ayrıntıları hakkında hızlıca sohbet edebilir miyiz" muhtemelen' hayır 'demeniz gereken bir şeydir, hatta özellikle havuç ikram etmeye gelirlerse.

Bir kişinin bir yorumda söylediği şeyi yinelemek için, bir dolandırıcılığı veya gaspı denemek ve göz ardı etmek adil olur. İşte göz önünde bulundurmanız gereken birkaç nokta.

• Bilgi almak için herhangi bir ödemeden bahsediliyor mu - hatta bir tür "idari ücret" bile var mı? Önceden mevcut bir hata ödülünüz olmadığını varsayarsak, meşru bir araştırmacının para istemesi olası değildir - hatanın düzeltilmesini ve onu bulmak için kredi alabilmesini isterler. Para istemek bir gasp girişimi olarak görülebilir veya en iyi ihtimalle etik değildir.

• Yeniden üretme adımları, onları yeniden üretmenize yardımcı olamayacak kadar belirsiz mi? Mühendislerinizin, neye sahip olduğunuzu tam olarak bilmesi ve önemsiz de olsa bir güvenlik açığı olduğunu doğrulaması için onları erken araştırmasını sağlayın. Normal uygulamaları takip ediyor olmanıza rağmen detay vermek konusunda biraz isteksizler mi? Ne yaparsanız yapın, güvenlik açığı belirsiz ve doğrulanmamış kalırsa, meşru bir raporla uğraşmıyor olabilirsiniz.

• Yazılımınızın nasıl olduğu hakkında bilgi edinmek için fazlasıyla istekli görünüyorlar mı? şirketiniz veya işletmeniz hakkında çalışıyor mu, hatta bilgi mi?

• Kişi bir grubu temsil ettiğini iddia ederse, gerçekten işe yaradığını doğrulayabilir misiniz?

Devam etmenin normal yolu, muhabire hatayı düzeltmeyi taahhüt ettiğinizden emin olmak, düzeltmenin gönderilmesi için bir zaman çerçevesi vermektir (zaten istedikleri bir zaman dilimi belirtmiş olabilirler, ancak bu mantıksız görünüyorsa , müzakere) daha sonra yayınlayabilirler. Ya da, yeniden test edip güvenlik açığının bir şekilde hala var olduğunu bulmaları durumunda, daha sonra ek süre isteyip istemediğinize bakın.

Ödül olarak para vermek biraz etik bir ikilemdir, bir yandan ödüllendirmek iyidir, ancak diğer yandan bir hata ödülünüz yoksa güvenlik açıkları bulma ve ödeme bekleme pratiğini teşvik etme riski taşır,bu da siyah şapka davranışına yaklaşıyor.Yine, biraz para vermek niyetinde olsanız bile, önce para konusunu gündeme getirirlerse dikkatli olun.Ancak bunu yaparsanız, bir tür resmi hata ödül programı kurmanız herkes için daha iyi olur.