Cómo va el programa de recompensas de Google Chrome? - xombra.com



A principios de año, Google inició un programa de incentivos dirigido a investigadores de seguridad externos. Dicho programa consistía en pagos desde los 500 hasta los 1.337 dólares de los fallos más graves, concretamente aquellos etiquetados de gravedad alta o crítica. Una iniciativa inspirada, como Google reconoce, en el programa de recompensas de la fundación Mozilla.

El equipo de Chrome recibe reportes de vulnerabilidades a un flujo normal para un proyecto de su envergadura, aunque tan solo once de ellas han sido cualificadas para obtener la recompensa ofrecida. Se da la circunstancia de que algunos de los investigadores han declinado el cobro de las mismas en favor de donaciones a la caridad, en ese caso Google incluso aumentó la cantidad a donar.

Además de la recompensa, Google acredita al descubridor agradeciendo su contribución y nombrándole, algo que para algunos puede tener incluso mayor valor que la cantidad cobrada.

En este momento hay solo once vulnerabilidades en el "Muro de la fama" procedentes de ocho investigadores diferentes. Tan solo una de ellas ha obtenido la máxima valoración de 1.337 dólares. Hay dos de 1.000 dólares, siete de 500 dólares y una de 509 dólares. Esta última cantidad es debido a que su descubridor, wushi, pertenece al grupo team509 y al parecer ese detalle no pasó desapercibido para Google.

De momento el único ganador en la categoría de los 1.337 dolares es Sergei Glazunov, con un desbordamiento de entero en la función "WebGLArray::create" del motor de código abierto WebKit. Dicho motor es el mismo que usa el navegador de Apple Safari, por lo que algunas veces comparten vulnerabilidades y los investigadores efectúan pruebas en ambos cuando se trata de partes comunes.

Se da la circunstancia de que cuatro de las premiadas, incluida la de Glazunov, fueron parcheadas pocos días antes del comienzo del Pwn2Own de este año. Concurso que año tras año va ganando mayor atención mediática.

Otras dos de la categoría de 500 dolares han sido publicadas, conjuntamente con otras cinco vulnerabilidades, en la versión estable 4.1.249.1059 el pasado 20 de abril.

A varios meses desde el comienzo del programa de incentivos podrían parecer pocas las vulnerabilidades premiadas hasta ahora, aunque sabemos que "cazar" una buena pieza lleva tiempo, arte y paciencia.

¿Habría mejorado el número de reportes subir los 1.337 a 31.337 dólares?

Más Información:

Encouraging More Chromium Security Research
http://blog.chromium.org/2010/01/encouraging-more-chromium-security.html

Stable Update: Security Fixes (20 de abril)
http://googlechromereleases.blogspot.com/2010/04/stable-update-security-fixes.html

Stable Channel Update (17 de marzo)
http://googlechromereleases.blogspot.com/2010/03/stable-channel-update.html

Fuente:
David García
http://www.hispasec.com



Otras noticias de interes:

 ghostbar: sobre el Internet en Venezuela
Advertencia: este artículo tiene alto contenido contra-gobierno. Si puede sentirse afectado por ello no lo lea, o réce unos 10 Chávez-Nuestro antes y después.
 Android seguirá siendo irresistible para los píratas informáticos
Dos investigadores están a punto de lanzar AFE (Android Framework for Explotation), un marco de trabajo que permitirá desarrollar malware para Android más fácilmente.
 Regreso al pasado vírico
Se supone que los hackers siempre tratan de buscar nuevos métodos de infección, nuevas vías para contaminar a los ordenadores de los usuarios. Pero estamos viviendo un regreso al pasado, con técnicas que nos recuerdan a los tiempos de los discos de 5 1/4...
 Ordenadores asíncronos. La desaparición del reloj.
Los ordenadores asíncronos son una nueva generación de máquinas, de diseño más simple y que funcionan sin velocidad de reloj. Se acabaron los Mhz, Ghz, etc.
 La mayoría de las vulnerabilidades se concentran en aplicaciones web
De acuerdo con un reporte del proveedor de seguridad Cenzic que abarca los últimos dos cuartos del 2008, la mayoría de las vulnerabilidades que se dieron a conocer durante este periodo eran de aplicaciones de Internet.

Indique que busca!!!


Redes sociales

Agregame a tus círculos

Sigueme en Twitter

Agregame a tu lector de RSS



Categorías




blog roll


Nube de tags

  • cómo

  • programa

  • recompensas

  • google

  • chrome

  • xombra

  • ubuntu

  • linux

  • fedora

  • blog

  • web

  • internet

  • gentoo

  • debian

  • mint

  • gnu

  • sabayon

  • libre

  • fice

  • thunderbird

  • firefox

  • mozilla

  • vaslibre

  • tware

  • opensource

  • sl

  • centos

  • bug

  • noticia

  • tecnologia

  • computer

  • system

  • php

  • mysql