Intel увеличила награды за выявление уязвимостей
В 2017 году была запущена программа Intel Bug Bounty Program, её целью стало стимулирование по обнаружению сторонними исследователями потенциальных уязвимостей. Программа работает на платформе HackerOne, где пользователи могут искать уязвимости в программном и аппаратном обеспечении, прошивках и т.д. Как обычно в таких программах, чем опаснее найденная уязвимость, тем больше компания выплатит её первооткрывателю.
Intel принимает во внимание несколько факторов, определяя степень опасности уязвимостей. Сначала используется калькулятор CVSS 3.0 для определения базовой оценки, затем вносятся поправки на основе модели безопасности конкретного продукта.
Как отмечается, согласованное и скоординированное раскрытие информации считается в отрасли наилучшим способом защитить заказчиков от уязвимостей безопасности. Такое раскрытие сводит к минимальному риску то, что пригодная для организации атак информация станет доступна общественности до того, как появятся обновления для устранения уязвимости.
В рамках недавнего публичного обещания Intel уделять первостепенное внимание вопросам безопасности компания внедрила ряд изменений в программу поиска ошибок и уязвимостей.
Среди изменений в работе программы:
- Переход от программы, работающей только по приглашениям, к программе, открытой для всех исследователей безопасности, что значительно расширяет пул исследователей, которые смогут принять участие в программе.
- Представлена новая программа, сосредоточенная на выявление уязвимостей с атаками по сторонним каналам, которая будет действовать до 31 декабря 2018 года. Сумма вознаграждения за выявленные в рамках этой программы уязвимости может достигать 250 тысяч долларов.
- Увеличены суммы вознаграждений по всей программе выявления уязвимостей, при этом размер вознаграждений по другим направлениям может достигать 100 тысяч долларов.
Александр Григорьев ЦСО "Крокус"
