Есть условия: уязвимость должна быть оценена как критическая. Microsoft классифицирует дыры в защите как критические, если вредоносный объект может проникнуть виде червя и распространиться по системе без какого-либо действия пользователя. Суть найденной уязвимости должна быть конфиденциально раскрыта компании iDefense до 31 марта 2006 года. Количество вознаграждений не ограничено. Это значит, что в случае обнаружения пяти или более критических уязвимостей, за каждую из них будет выплачена обещанная сумма.
Как заявил глава iDefense Майкл Саттон (Michael Sutton), его компания будет предлагать новый конкурс каждый квартал, с разными целями и задачами для разработчиков и пользователей.
Ряд компаний последовали этому примеру и уже представили или представят подобные программы. Среди таких компаний значатся Argeniss и Gleg. Прошлым летом компания 3Com's TippingPoint запустила свой конкурс "Zero Day Initiative". Mozilla предлагает вознаграждение за обнаруженные критические ошибки в своей продукции.
Совершенно ясным является то, что компании заинтересованы в обнаружении слабых мест в своей продукции. Они готовы даже заплатить талантливым людям со стороны, только лишь бы эти секреты не попали в руки злоумышленников. Но вместе с этим компании понимают, что критическая уязвимость Windows на черном рынке может быть продана дороже, чем $10,000. Поэтому даже большая плата за уязвимость сейчас, может сэкономить большие деньги в будущем.
В начале этого месяца Российская анти-вирусная компания Kaspersky Lab зафиксировала случай продажи уязвимости, связанной с WMF файлами. Еще в январе Microsoft выпустила патч, решающий эту проблему. Но группа русских хакеров продала новую уязвимость за $4,000, скорей всего, не подозревая о гораздо большем официальном вознаграждении.
Преимущества официальной системы покупки уязвимостей состоит в том, что подробности о них не будут столь широко известны. Просто будут выходить соответствующие патчи, с кратким описанием проблемы, которую он решает. Таким образом, вред от вновь открывшихся уязвимостей будет сведен к минимуму.
Комментарии (0)