Om het internet veiliger te maken en zowel gebruikers als bedrijven en organisaties te beschermen zijn hackers en beveiligingsonderzoekers opgeroepen om lekken in Adobe Flash Player te vinden en te rapporteren. De oproep is afkomstig van Chris Evans, hoofd van het Google Chrome Security Team.

Evans is tevens onderdeel van de jury van HackerOne, een initiatief van Facebook en Microsoft waarbij hackers en onderzoekers worden beloond voor het rapporteren van kwetsbaarheden in veelgebruikte internetsoftware. Het gaat dan voornamelijk om softwareprojecten zoals Apache, OpenSSL en PHP, waar veel websites en webdiensten gebruik van maken. Onlangs werd echter ook Adobe Flash Player als project toegevoegd.

Zero-days

Flash Player is bijna op alle computers aanwezig en kwetsbaarheden in de software kunnen grote gevolgen hebben. Evans wijst naar het aantal zero day-kwetsbaarheden in Flash Player dat de afgelopen jaren werd ontdekt en tegen bedrijven en activisten werd ingezet. Sinds 2010 werden meer dan 18 zero days gebruikt voor aanvallen waarvoor op het moment van de aanval nog geen beveiligingsupdate beschikbaar was. Halverwege 2010 besloten onderzoekers van Google daarom de veiligheid van Flash Player te testen en ontdekten 106 beveiligingsbugs.

Het duurde bijna een jaar voordat er weer een zero day-aanval plaatsvond waarbij het soort beveiligingslek werd gebruikt die de onderzoekers van Google hadden ontdekt en gemeld. Sinds december 2013 en begin 2014 is er echter weer een toename van het aantal zero day-aanvallen in Flash Player zichtbaar en gezien het effect van de vorige groot bugjacht roept Evans de hackergemeenschap dan ook op om met Flash Player aan de slag te gaan en eventueel gevonden problemen via het HackerOne-programma te melden.

Inmiddels zou er drie keer 10.000 dollar zijn uitgekeerd voor informatie over lekken in Flash Player. Evans richt zich ook op "whitehat" hackers die bijvoorbeeld voor de overheid werken en te horen kregen dat ze terroristen zouden bestrijden, terwijl hun werk in werkelijkheid werd gebruikt om internetgebruikers te bespioneren of buitenlandse overheden aan te vallen. "Als je een verschil wilt maken doe dan met ons mee en je wordt er tegelijkertijd ook nog voor beloond."