Cómo va el programa de recompensas de Google Chrome? - xombra.com



A principios de año, Google inició un programa de incentivos dirigido a investigadores de seguridad externos. Dicho programa consistía en pagos desde los 500 hasta los 1.337 dólares de los fallos más graves, concretamente aquellos etiquetados de gravedad alta o crítica. Una iniciativa inspirada, como Google reconoce, en el programa de recompensas de la fundación Mozilla.

El equipo de Chrome recibe reportes de vulnerabilidades a un flujo normal para un proyecto de su envergadura, aunque tan solo once de ellas han sido cualificadas para obtener la recompensa ofrecida. Se da la circunstancia de que algunos de los investigadores han declinado el cobro de las mismas en favor de donaciones a la caridad, en ese caso Google incluso aumentó la cantidad a donar.

Además de la recompensa, Google acredita al descubridor agradeciendo su contribución y nombrándole, algo que para algunos puede tener incluso mayor valor que la cantidad cobrada.

En este momento hay solo once vulnerabilidades en el "Muro de la fama" procedentes de ocho investigadores diferentes. Tan solo una de ellas ha obtenido la máxima valoración de 1.337 dólares. Hay dos de 1.000 dólares, siete de 500 dólares y una de 509 dólares. Esta última cantidad es debido a que su descubridor, wushi, pertenece al grupo team509 y al parecer ese detalle no pasó desapercibido para Google.

De momento el único ganador en la categoría de los 1.337 dolares es Sergei Glazunov, con un desbordamiento de entero en la función "WebGLArray::create" del motor de código abierto WebKit. Dicho motor es el mismo que usa el navegador de Apple Safari, por lo que algunas veces comparten vulnerabilidades y los investigadores efectúan pruebas en ambos cuando se trata de partes comunes.

Se da la circunstancia de que cuatro de las premiadas, incluida la de Glazunov, fueron parcheadas pocos días antes del comienzo del Pwn2Own de este año. Concurso que año tras año va ganando mayor atención mediática.

Otras dos de la categoría de 500 dolares han sido publicadas, conjuntamente con otras cinco vulnerabilidades, en la versión estable 4.1.249.1059 el pasado 20 de abril.

A varios meses desde el comienzo del programa de incentivos podrían parecer pocas las vulnerabilidades premiadas hasta ahora, aunque sabemos que "cazar" una buena pieza lleva tiempo, arte y paciencia.

¿Habría mejorado el número de reportes subir los 1.337 a 31.337 dólares?

Más Información:

Encouraging More Chromium Security Research
http://blog.chromium.org/2010/01/encouraging-more-chromium-security.html

Stable Update: Security Fixes (20 de abril)
http://googlechromereleases.blogspot.com/2010/04/stable-update-security-fixes.html

Stable Channel Update (17 de marzo)
http://googlechromereleases.blogspot.com/2010/03/stable-channel-update.html

Fuente:
David García
http://www.hispasec.com



Otras noticias de interes:

 Vulnerabilidades en motor de proceso de gráficos de sistemas Windows
Hoy segundo martes de noviembre Microsoft ha publicado las actualizaciones desarrolladas desde el pasado mes. En esta ocasión sólo se ha publicado una nueva actualización calificada como crítica. El problema, que podría permitir la ejecución remota de código, afecta a los sistemas Windows 2000, Windows XP y Windows Server 2003.
 ¿Se merecen una oportunidad los escritores de virus?
La compañía de seguridad alemana que dio empleo a quien es acusado de ser el autor del conocido gusano Sasser, responde las críticas recibidas por el resto de la industria.
 HVEN y ORION TEAM desaparecidos ???

Hace un tiempo ya. los grupos de hacking orion team venezuela (www.otv.org.ve) y hacker de venezuela (www.hven.com.ve) han desaparecido sin dejar rastro... donde se encontraran ??? pensarán volver?

 Complicar los sistemas de autenticación para aumentar la seguridad
En el último año hemos asistido a un crecimiento excesivo de intentos de robo de identidad electrónica. El principal método usado ha sido el phishing ("pesca" mediante correos engañosos) con un aumento del 110% mensual en los últimos 6 meses. Este hecho añadido a otras técnicas más tradicionales como son explotación de vulnerabilidades, troyanos y sus derivados, llevan a los expertos a idear mejoras para los sistemas de autenticación.
 Nueva actualización de seguridad de Java de Noviembre de 2009
Se ha publicado una actualización de Java -versión 6 actualización 17, conocida como 6u17-.

Indique que busca!!!


Redes sociales

Agregame a tus círculos

Sigueme en Twitter

Agregame a tu lector de RSS



Categorías




blog roll


Nube de tags

  • cómo

  • programa

  • recompensas

  • google

  • chrome

  • xombra

  • ubuntu

  • linux

  • fedora

  • blog

  • web

  • internet

  • gentoo

  • debian

  • mint

  • gnu

  • sabayon

  • libre

  • fice

  • thunderbird

  • firefox

  • mozilla

  • vaslibre

  • tware

  • opensource

  • sl

  • centos

  • bug

  • noticia

  • tecnologia

  • computer

  • system

  • php

  • mysql