GitHub verlaagt de beloningen die het uitkeert aan onderzoekers voor het melden van kwetsbaarheden via het openbare bugbountyprogramma. Daarnaast komt er een apart 'VIP-programma' voor onderzoekers met een bewezen trackrecord. Dat heeft het platform voor softwareontwikkelaars in een blogposting aangekondigd. Eén van de redenen voor het aanpassen van het programma zijn 'ontwikkelingen in de industrie', waarbij GitHub lijkt te wijzen naar het gebruik van AI voor het vinden van beveiligingsproblemen.
Net als veel andere websites en bedrijven heeft GitHub een bugbountyprogramma. Onderzoekers die problemen op GitHub vinden kunnen een beloning krijgen als ze die melden. Daarbij is de hoogte van de beloning afhankelijk van de impact van de kwetsbaarheid. Voor het bugbountyprogramma maakt GitHub gebruik van HackerOne, dat de coordinatie tussen de bugmelder en GitHub afhandelt. GitHub kent vier soorten kwetsbaarheden, namelijk low, medium, high en critical.
Elke categorie had wat betreft beloning een bandbreedte. Zo kon een 'low' kwetsbaarheid tussen 617 en 2.000 dollar opleveren, maar volgens HackerOne werd er gemiddeld 719 dollar uitgekeerd. Een 'high' kwetsbaarheid kon tussen de 10.000 en 20.000 dollar opleveren, maar het gemiddelde beloningsbedrag in deze categorie bedraagt zo'n 11.000 dollar. Voor kritieke kwetsbaarheden loofde GitHub 30.000 dollar of meer uit, waarbij het maximale bedrag 100.000 dollar bedroeg.
GitHub heeft nu verschillende aanpassingen aangekondigd. Als eerste wordt er niet meer met bandbreedtes gewerkt en gaan de beloningen van het publieke bugbountyprogramma omlaag. De nieuwe bedragen voor low, medium, high en critical kwetsbaarheden worden respectievelijk 250, 2.000, 5.000 en 10.000 dollar. Voorheen konden dergelijke problemen nog maximaal 2.000, 10.000, 20.000 en 100.000 dollar opleveren. Dit zou het aantal door AI-gegenereerde bugmeldingen moeten tegengaan. Iets waar de afgelopen maanden meerdere softwareprojecten over klaagden.
Een tweede aanpassing is de introductie van een VIP-programma voor onderzoekers met een bewezen trackrecord. Onderzoekers die eerder problemen in het GitHub-platform vonden kunnen aan dit programma deelnemen. Voor deze groep worden andere beloningsbedragen gehanteerd. VIP-onderzoekers kunnen voor low, medium, high en critical kwetsbaarheden bedragen van respectievelijk 1.000, 7.500, 20.000 en 30.000 dollar of meer ontvangen. De nieuwe bedragen gaan vanaf 27 juli gelden. Voor meldingen die voor deze datum worden gedaan zal GitHub de oudere bedragen hanteren.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
