So beantworten Sie jede Ihrer Fragen:

1. Grundsätzlich, wie wir vorgehen sollen oder sollten wir sogar?

Ich empfehle, fortzufahren. Sie können wertvolle Informationen erhalten, die sofort zur Verbesserung der Sicherheit Ihres Unternehmens eingesetzt werden können. Sie haben uns nicht mitgeteilt, was der Forscher Ihnen gesendet hat, aber er enthält entweder eine Beschreibung der Sicherheitsanfälligkeit oder Methoden zur Reproduktion. Um fortzufahren, benötigen Sie von ihnen:

SEHR WICHTIG: Machen Sie dem Forscher klar, dass Sie erwarten, dass er das Problem vertraulich behandelt, bis das Problem behoben ist. Sie können mit einem Korrekturfenster kontern, z Sie können veröffentlichen und Artikel verfassen, wenn das Problem nicht innerhalb von 60 Tagen behoben ist. Dies ist gängige Praxis und sollte für die meisten Unternehmen mit einer starken Sicherheitslage akzeptabel sein.

2. Was ist die allgemeine Erwartung an einen weißen (Hut-) Hacker?

Hängt vom Forscher ab, aber er möchte wahrscheinlich die Erlaubnis, den Befund zu veröffentlichen, sobald er behoben wurde, sowie eine finanzielle Belohnung. Die Prämienpreise basieren auf dem Schweregrad und der Größe des Kopfgeldprogramms. Hackerone, eine große Bug-Bounty-Plattform, verfügt über eine Matrix, die Auszahlungen im Verhältnis zur Größe des Unternehmens / Bounty-Programms vorschlägt: https://www.hackerone.com/resources/bug-bounty-basics. Das Bestimmen des Auszahlungspreises ist eine subtile Kunst - ich empfehle, Hackerone oder andere Bug-Bounty-Plattformen nach ähnlichen Fehlern zu durchsuchen und Ihre Auszahlung darauf zu stützen, was andere Unternehmen für das gleiche Problem bezahlen ist, dass sie den Befund in einer bestimmten Zeit veröffentlichen können, unabhängig davon, ob er bis dahin behoben wurde. 60 Tage sind üblich, aber ich würde einer bestimmten Zeit nicht zustimmen, wenn Sie nicht sicher sind, dass Ihr Unternehmen in diesem Fenster liefern kann. Nachdem das Problem behoben wurde, möchte der Hacker möglicherweise überprüfen, ob der Fix korrekt implementiert wurde.

3. Wie validiere ich?

Verwenden Sie die Reproduktionsschritte, die Ihnen der Hacker gegeben hat. Sie sollten klar genug sein, dass jeder Ingenieur die Schritte genau befolgen und den Fehler reproduzieren kann. Wenn es hier irgendwelche Probleme gibt, können Sie zum Forscher zurückkehren und sich klären lassen. Es liegt in der Verantwortung der Forscher, dem Unternehmen Reproduktionsschritte zur Verfügung zu stellen, die den Fehler beschreiben und identifizieren.

Sobald das Problem behoben ist, können Sie den Forscher einladen, das Update zu validieren und sicherzustellen, dass es vollständig gepatcht wurde.

Hackenproof scheint eine Website zu sein, für die sich jeder anmelden kann. Wenn Sie also Mitglied von Hackproof sind, bedeutet dies, dass Sie Mitglied von Facebook sind. Dies ist keine exklusive Hacker-Gruppe.

Es gibt keine formalisierte Standardmethode, um mit einer solchen Situation fortzufahren, da Ihr Unternehmen, Ihr Unternehmen, der Fehler und der weiße Hut sehr unterschiedlich sein werden. Eine Größe passt nicht für alle.

Im Allgemeinen ist es ratsam, vorsichtig, aber neugierig zu sein. Sei vorsichtig, aber nicht paranoid und rachsüchtig. Geben Sie dem weißen Hut keine internen Informationen, versuchen Sie, so viele Informationen wie möglich im Voraus zu erhalten, während Sie wenig oder gar nichts preisgeben. Viele dieser Leute sprechen gerne, um ihr eigenes Fachwissen zu zeigen. Lass sie das tun. Es kann wenig Schaden anrichten, wenn die Informationen nur in eine Richtung fließen. Fragen Sie ihn nach dem Quellcode oder einer detaillierten Beschreibung des Problems. Analysieren Sie dann den Code / die Beschreibung und schreiben Sie Ihren eigenen Exploit (und kompilieren oder führen Sie den White-Hats-Code nicht aus), indem Sie ihn für eine Testinstanz ausführen, vorzugsweise so isoliert wie möglich von jeder anderen Umgebung.

As Was die Verantwortlichkeiten der einzelnen Parteien betrifft, werden die meisten Menschen, die heutzutage behaupten, White-Hat-Hacker zu sein, eine verantwortungsvolle Offenlegung praktizieren und den Fehler erst dann an die Welt weitergeben, wenn er behoben werden kann. Sie sind dafür verantwortlich, den Fehler (wenn er schwerwiegend genug ist) innerhalb eines angemessenen Zeitraums (mehrere Wochen, nicht Jahre) zu beheben. Wenn Ihr Unternehmen Kopfgelder anbietet, sollten diese bezahlt werden, wenn der Fehler die Kriterien erfüllt. Wenn nicht, sollte der weiße Hut akzeptieren, dass sie wahrscheinlich nicht bezahlt werden, aber Sie müssen akzeptieren, dass sie den Fehler möglicherweise für die breite Öffentlichkeit freigeben, wenn er nicht in angemessener Zeit behoben wird.

Ich weiß nicht, dass es hier feste Regeln gibt. Betrachten wir dies als Spieltheorie:

Was der Forscher will

Normalerweise:

• Öffentliche Anerkennung für die Entdeckung, z. B. ein CVE oder ein Forschungsbericht.
• Manchmal Geld in Form eines Bug Bounty.

Was Sie wollen

Normalerweise:

• Nicht öffentlich gedemütigt werden.
• Um die Sicherheit Ihres Produkts zu verbessern.

Vorgehensweise

Aus einer Spieltheorie In der Win-Win-Situation besteht die Win-Win-Situation darin, dass sie Ihnen die Details mitteilen, dass Sie sie beheben und dass sie ihre öffentlichen Kredite erhalten. Sie sollten einen Anruf mit dem Forscher tätigen und um eine Demo bitten - Sie können viel gewinnen und nichts verlieren. Beachten Sie, dass der Forscher möglicherweise eine NDA oder einen anderen Rechtsvertrag wünscht, um sicherzustellen, dass er am Ende seine Gutschrift erhält, bevor er bereit ist, Ihnen die Details zu zeigen.

Ich könnte erwähnenswert sein, dass sie wahrscheinlich auch ziemlich neu in diesem Bereich sind, es gibt viele „Profis“ und wenn Sie so Ihren Lebensunterhalt verdienen, haben Sie wahrscheinlich einen Prozess, aber das beinhaltet normalerweise eine Vereinbarung mit einem Unternehmen > bevor Sie mit der Arbeit beginnen. Aber selbst dann variiert es zwischen Unternehmen und der Art des Jobs.

Das klingt für mich jedoch wie ein Enthusiast. Ich bezweifle wirklich, dass es etwas zu verlieren gibt, wenn man mit dem Kerl spricht. Er mag unrealistische Erwartungen haben, aber was verlierst du?

Randnotiz, tut mir leid, wenn diese Bevormundung, aber ich denke, es muss gesagt werden: Es ist zumindest denkbar, dass dies ein Weg sein soll, um dich zu sein. ' had ', "können wir uns kurz über einige der Implementierungsdetails Ihres Systems unterhalten" ist etwas, zu dem Sie wahrscheinlich' nein 'sagen sollten, sogar strike>, besonders wenn sie eine Karotte anbieten.

Um zu wiederholen, was jemand in einem Kommentar gesagt hat, wäre es fair, einen Betrug oder eine Erpressung auszuschließen. Hier sind einige Dinge zu beachten.

• Wird die Zahlung als Antwort auf Informationen überhaupt erwähnt - sogar eine Art "Verwaltungsgebühr"? Angenommen, Sie haben keine bereits vorhandene Fehlerprämie, wird ein legitimer Forscher wahrscheinlich nicht um Geld bitten - er möchte, dass der Fehler behoben wird und die Möglichkeit besteht, Gutschriften für das Auffinden des Fehlers zu erhalten. Geld zu verlangen könnte als Erpressungsversuch oder bestenfalls unethisch angesehen werden.

• Sind die Schritte zur Reproduktion so vage, dass sie Ihnen nicht helfen könnten, sie zu reproduzieren? Lassen Sie Ihre Ingenieure sie frühzeitig untersuchen, um genau zu wissen, was Sie haben, und um sicherzustellen, dass eine Sicherheitslücke besteht, auch wenn diese geringfügig ist. Zögern sie ein wenig, Details anzugeben, obwohl Sie den normalen Praktiken folgen? Wenn die Sicherheitsanfälligkeit unabhängig von Ihrer Tätigkeit vage und unbestätigt bleibt, handelt es sich möglicherweise nicht um einen legitimen Bericht.

• Scheinen sie übermäßig darauf bedacht zu sein, Informationen über Ihre Software zu erhalten Arbeiten oder sogar Informationen über Ihr Unternehmen oder Geschäft?

• Wenn die Person behauptet, eine Gruppe zu vertreten, können Sie überprüfen, ob sie dies tatsächlich tut?

Der normale Weg, um fortzufahren, besteht darin, dem Reporter zu versichern, dass Sie verpflichtet sind, den Fehler zu beheben, einen Zeitrahmen für den Versand des Fixes anzugeben (er hat möglicherweise bereits einen gewünschten Zeitrahmen angegeben, aber wenn dies unangemessen erscheint , verhandeln), wonach sie veröffentlichen können. Oder prüfen Sie, ob Sie danach eine Nachfrist beantragen können, falls sie erneut testen und feststellen, dass die Sicherheitsanfälligkeit in irgendeiner Form noch besteht.

Geld als Belohnung zu geben ist ein ethisches Dilemma. Einerseits ist es gut zu belohnen, andererseits besteht die Gefahr, dass die Praxis, Schwachstellen zu finden und Auszahlungen zu erwarten, gefördert wird, wenn Sie keine Bug Bounty haben. das kommt dem Verhalten des schwarzen Hutes nahe. Seien Sie auch hier vorsichtig, wenn sie zuerst das Thema Geld angesprochen haben, auch wenn Sie beabsichtigen, etwas zu geben. Wenn Sie dies jedoch tun, ist es für alle besser, wenn Sie ein formelles Bug-Bounty-Programm einrichten.