Onderzoekers zijn niet aangemoedigd om zero-day fouten in de Tor Browser vinden. Een nieuw programma wordt gelanceerd door Zerodium, de beruchte private exploiteren reseller, die is veelbelovend beloningen van maximaal 1$ miljoen. Het enige wat een onderzoeker moet doen is om een voorheen onbekende fout voor de browser op Windows en Tails Linux-distributie openbaren, en rapporteren van voor november 30, 2017.
Onderzoekers bereid bij te dragen aan het programma moet ook rekening mee dat als het bedrijf krijgt wat het wil vóór de gestelde termijn, het programma zou kunnen dichter eerder zijn.
“Met de toename van het aantal (en effectiviteit) exploit beperkende factoren op de moderne systemen, exploiteren van kwetsbaarheden van de browser wordt steeds moeilijker elke dag, maar nog steeds, gemotiveerde onderzoekers zijn altijd in staat om nieuwe browser exploits te ontwikkelen, ondanks de complexiteit van de taak, dankzij hun vaardigheden en een beetje van scripting talen zoals JavaScript,” Zerodium onlangs verklaard.
Zerodium's Rules te kwalificeren voor de Bug Bounty Program
Voor degenen die bereid zijn om deel te nemen, zijn er bepaalde regels die moeten worden beschouwd. Eerst en vooral, het onderzoek moet vertrouwen op exclusieve, onbekende ongemelde en ongepubliceerde zero-day exploits. Het moet ook in staat zijn om alles te benutten beperkende factoren geschikt voor elk doel categorie te omzeilen, Zerodium verklaart.
De eerste aanvalsvector moet een webpagina gericht op de nieuwste versies van Tor Browser zijn, zowel stabiel als experimentele. De specificatie is dat de configuratie van niet-standaard of geharde moet, JavaScript geblokkeerd voor alle websites. De standaardconfiguratie kan ook worden toegepast.
De exploit in vraag moet volledig functioneel en betrouwbaar zijn, en linken naar externe code van het besturingssysteem, ofwel met de privileges van de huidige gebruiker, of met onbeperkte root / SYSTEM privileges. Dat is niet alles. Het hele proces van exploitatie moet op een rustige wijze worden uitgevoerd, waarbij geen bericht of popup wordt geactiveerd. Geen interactie van de gebruiker nodig moeten zijn, behalve het bezoeken van een webpagina.
Aanvalsvectoren te vertrouwen op het openen van een document komen niet in aanmerking. Zerodium, echter, kan een duidelijke offerte voor een dergelijke maken een exploit. Ten slotte, exploits die verstoring van het Tor netwerk veroorzaken zijn niet aanvaardbaar, en prestaties vereisen manipulatie van Tor nodes.
Waarom de lancering van deze bug bounty? Om de regering te helpen.
“We hebben deze speciale bounty voor Tor Browser gelanceerd zero-dagen om te helpen onze overheidsklanten criminaliteit bestrijden en de wereld een betere en veiligere plek voor alle,” Zerodium zegt.
belangwekkend, terug in juli van dit jaar, Tor startte haar eigen bug bounty programma om de identiteit van Tor gebruikt te voorkomen van wordt onthuld.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: