Microsoft gaat betalen voor ernstige lekken in Edge
Microsoft heeft het beloningsprogramma voor hackers uitgebreid zodat voortaan ook ernstige beveiligingslekken in Edge worden beloond. Het gaat om kwetsbaarheden waardoor een aanvaller willekeurige code op de computer kan uitvoeren. Hiervoor zal Microsoft maximaal 15.000 dollar betalen.
Net als andere partijen hanteert Microsoft een beloningsprogramma voor hackers en onderzoekers waarbij het melden van kwetsbaarheden worden beloond. Onder het beloningsprogramma vallen verschillende diensten en platformen, zoals Office365, Outlook.com en OneDrive. In het geval van Edge geldt het beloningsprogramma alleen voor de Edge-versie in de testversie van Windows 10.
Volgens Microsoft helpen de beloningen om de platformen veiliger te maken. Daarbij kiest het ervoor om juist het melden van kwetsbaarheden in de testversies te belonen, aangezien problemen zo in een vroeger stadium kunnen worden ontdekt en verholpen. Het beloningsprogramma voor de testversie van Edge loopt tot 15 mei 2017. In het geval onderzoekers een kwetsbaarheid melden die al door Microsoft zelf is gevonden zal de softwaregigant maximaal 1500 dollar uitkeren.
maandag 25 januari 2010, 14:03 door Redactie, 17 reacties
Beveiligingsonderzoekers en hackers zwijgen over lekken omdat ze bang zijn voor Microsoft, aldus beveiligingsexpert Robert Graham, die zelf ook door de softwaregigant bedreigd zou zijn. Graham reageert naar aanleiding van het lek in Internet Explorer, waardoor vermoedelijk Chinese hackers bij Google wisten in te breken. De bug noemt hij op zichzelf geen falen van Microsoft. "Microsoft is waarschijnlijk de beste in de industrie als het gaat om het oplossen van dit soort bugs." Toch had de reus uit Redmond een week nodig om het lek te patchen en wist het hier al maanden van. "Dat is een vrij lange tijd voor een zero-day om los te lopen."
Bedreiging
Volgens Graham reageerde Microsoft vroeger sneller op grote beveiligingslekken en wordt het elk jaar erger. "Dat komt doordat ze direct of indirect de helft van de beveiligingsindustrie inhuren en de andere helft beïnvloeden." Als Microsoft een lek negeert en een onderzoeker besluit het probleem bekend te maken, dan zal Microsoft ze binnen de industrie proberen te weren. "Onderzoekers houden hun mond omdat ze bang zijn voor Microsoft", zegt Graham. Zelf zegt hij ook door de Microsoft bedreigd te zijn.
Hij ontdekte een aantal jaren geleden een eenvoudig WiFi-lek in Windows Mobile. Het werd nooit gepatcht, grotendeels omdat de telecomprovider dit weigerde. Aangezien hij het lek pas kon publiceren na de patch, betekende dit dat hij het lek nooit publiceerde. "We kennen veel onderzoekers die lekken in Windows Mobile vinden die voor precies dezelfde reden nooit gepubliceerd worden." In het geval van Graham zou hij daarnaast bezoek van FBI-agenten hebben gehad, die dreigden zijn profiel aan te passen, zodat hij niet meer voor de overheid kon werken. "Dit werd gedaan onder druk van Microsoft."
https://www.security.nl/posting/27441/"Hackers+bang+voor+Microsoft"
Laat je niet verleiden door Microsoft. Bepaalde mensen vinden het onprettig als je een lek meldt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.