Microsoft gaat betalen voor ernstige lekken in Edge
Microsoft heeft het beloningsprogramma voor hackers uitgebreid zodat voortaan ook ernstige beveiligingslekken in Edge worden beloond. Het gaat om kwetsbaarheden waardoor een aanvaller willekeurige code op de computer kan uitvoeren. Hiervoor zal Microsoft maximaal 15.000 dollar betalen.
Net als andere partijen hanteert Microsoft een beloningsprogramma voor hackers en onderzoekers waarbij het melden van kwetsbaarheden worden beloond. Onder het beloningsprogramma vallen verschillende diensten en platformen, zoals Office365, Outlook.com en OneDrive. In het geval van Edge geldt het beloningsprogramma alleen voor de Edge-versie in de testversie van Windows 10.
Volgens Microsoft helpen de beloningen om de platformen veiliger te maken. Daarbij kiest het ervoor om juist het melden van kwetsbaarheden in de testversies te belonen, aangezien problemen zo in een vroeger stadium kunnen worden ontdekt en verholpen. Het beloningsprogramma voor de testversie van Edge loopt tot 15 mei 2017. In het geval onderzoekers een kwetsbaarheid melden die al door Microsoft zelf is gevonden zal de softwaregigant maximaal 1500 dollar uitkeren.
maandag 25 januari 2010, 14:03 door Redactie, 17 reacties
Beveiligingsonderzoekers en hackers zwijgen over lekken omdat ze bang zijn voor Microsoft, aldus beveiligingsexpert Robert Graham, die zelf ook door de softwaregigant bedreigd zou zijn. Graham reageert naar aanleiding van het lek in Internet Explorer, waardoor vermoedelijk Chinese hackers bij Google wisten in te breken. De bug noemt hij op zichzelf geen falen van Microsoft. "Microsoft is waarschijnlijk de beste in de industrie als het gaat om het oplossen van dit soort bugs." Toch had de reus uit Redmond een week nodig om het lek te patchen en wist het hier al maanden van. "Dat is een vrij lange tijd voor een zero-day om los te lopen."
Bedreiging
Volgens Graham reageerde Microsoft vroeger sneller op grote beveiligingslekken en wordt het elk jaar erger. "Dat komt doordat ze direct of indirect de helft van de beveiligingsindustrie inhuren en de andere helft beïnvloeden." Als Microsoft een lek negeert en een onderzoeker besluit het probleem bekend te maken, dan zal Microsoft ze binnen de industrie proberen te weren. "Onderzoekers houden hun mond omdat ze bang zijn voor Microsoft", zegt Graham. Zelf zegt hij ook door de Microsoft bedreigd te zijn.
Hij ontdekte een aantal jaren geleden een eenvoudig WiFi-lek in Windows Mobile. Het werd nooit gepatcht, grotendeels omdat de telecomprovider dit weigerde. Aangezien hij het lek pas kon publiceren na de patch, betekende dit dat hij het lek nooit publiceerde. "We kennen veel onderzoekers die lekken in Windows Mobile vinden die voor precies dezelfde reden nooit gepubliceerd worden." In het geval van Graham zou hij daarnaast bezoek van FBI-agenten hebben gehad, die dreigden zijn profiel aan te passen, zodat hij niet meer voor de overheid kon werken. "Dit werd gedaan onder druk van Microsoft."
https://www.security.nl/posting/27441/"Hackers+bang+voor+Microsoft"
Laat je niet verleiden door Microsoft. Bepaalde mensen vinden het onprettig als je een lek meldt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
