Cómo va el programa de recompensas de Google Chrome? - xombra.com



A principios de año, Google inició un programa de incentivos dirigido a investigadores de seguridad externos. Dicho programa consistía en pagos desde los 500 hasta los 1.337 dólares de los fallos más graves, concretamente aquellos etiquetados de gravedad alta o crítica. Una iniciativa inspirada, como Google reconoce, en el programa de recompensas de la fundación Mozilla.

El equipo de Chrome recibe reportes de vulnerabilidades a un flujo normal para un proyecto de su envergadura, aunque tan solo once de ellas han sido cualificadas para obtener la recompensa ofrecida. Se da la circunstancia de que algunos de los investigadores han declinado el cobro de las mismas en favor de donaciones a la caridad, en ese caso Google incluso aumentó la cantidad a donar.

Además de la recompensa, Google acredita al descubridor agradeciendo su contribución y nombrándole, algo que para algunos puede tener incluso mayor valor que la cantidad cobrada.

En este momento hay solo once vulnerabilidades en el "Muro de la fama" procedentes de ocho investigadores diferentes. Tan solo una de ellas ha obtenido la máxima valoración de 1.337 dólares. Hay dos de 1.000 dólares, siete de 500 dólares y una de 509 dólares. Esta última cantidad es debido a que su descubridor, wushi, pertenece al grupo team509 y al parecer ese detalle no pasó desapercibido para Google.

De momento el único ganador en la categoría de los 1.337 dolares es Sergei Glazunov, con un desbordamiento de entero en la función "WebGLArray::create" del motor de código abierto WebKit. Dicho motor es el mismo que usa el navegador de Apple Safari, por lo que algunas veces comparten vulnerabilidades y los investigadores efectúan pruebas en ambos cuando se trata de partes comunes.

Se da la circunstancia de que cuatro de las premiadas, incluida la de Glazunov, fueron parcheadas pocos días antes del comienzo del Pwn2Own de este año. Concurso que año tras año va ganando mayor atención mediática.

Otras dos de la categoría de 500 dolares han sido publicadas, conjuntamente con otras cinco vulnerabilidades, en la versión estable 4.1.249.1059 el pasado 20 de abril.

A varios meses desde el comienzo del programa de incentivos podrían parecer pocas las vulnerabilidades premiadas hasta ahora, aunque sabemos que "cazar" una buena pieza lleva tiempo, arte y paciencia.

¿Habría mejorado el número de reportes subir los 1.337 a 31.337 dólares?

Más Información:

Encouraging More Chromium Security Research
http://blog.chromium.org/2010/01/encouraging-more-chromium-security.html

Stable Update: Security Fixes (20 de abril)
http://googlechromereleases.blogspot.com/2010/04/stable-update-security-fixes.html

Stable Channel Update (17 de marzo)
http://googlechromereleases.blogspot.com/2010/03/stable-channel-update.html

Fuente:
David García
http://www.hispasec.com



Otras noticias de interes:

 Seminario de Seguridad (Gratuito) Online
Este miercoles 21 de marzo el amigo José María Shenone voy a estar dictando un seminario sin cargo organizado por CLA Linux Institute y TUXINFO. Hora Venezuela: 19:30
 Symantec admite que fue hackeada
Symantec se ha retractado de declaraciones anteriores en relación con el robo del código fuente de algunos de sus principales productos de seguridad, y ahora admite que su propia red se ha visto comprometida.
 El gusano Stration hace crecer los niveles de spam
Expertos de iDefense han hecho comentarios esta semana, sobre detalles del gusano Stration que han pasado inadvertidos hasta ahora para la mayoría. Según estos, el Stration, posee la habilidad de enviar millones de mensajes con publicidad no deseada de productos farmacéuticos.
 Bug en el primer troyano que aprovecha el rootkit de Sony el creador no pasó el control de calidad
Tal y como era previsible, no han pasado muchos días desde que se publicara que el sistema anticopia de Sony incluía un rootkit hasta que un malware se ha aprovechado de ello.
 Diez fallas en la Máquina Virtual Java de Microsoft
Estas fallas, afectan incluso las últimas versiones de Windows (XP con SP1) e Internet Explorer 6 (SP1). Cómo vimos en la alerta mencionada antes, estas fallas podrían ser aprovechadas en forma remota para causar algún daño a los equipos vulnerables. También los usuarios de Outlook Express son vulnerables si se incluyen rutinas de JavaScript en mensajes con formato HTML.

Indique que busca!!!


Redes sociales

Agregame a tus círculos

Sigueme en Twitter

Agregame a tu lector de RSS



Categorías




blog roll


Nube de tags

  • cómo

  • programa

  • recompensas

  • google

  • chrome

  • xombra

  • ubuntu

  • linux

  • fedora

  • blog

  • web

  • internet

  • gentoo

  • debian

  • mint

  • gnu

  • sabayon

  • libre

  • fice

  • thunderbird

  • firefox

  • mozilla

  • vaslibre

  • tware

  • opensource

  • sl

  • centos

  • bug

  • noticia

  • tecnologia

  • computer

  • system

  • php

  • mysql