Google : 3 133,7 dollars si vous découvrez une faille majeure sur Chrome et ses applications en ligne

[Idelways]

Google étend la chasse aux vulnérabilités à ses applications en ligne
3,133.7 $ pour celui (ou celle) qui trouve une faille critique sur Youtube, Orkut ou Blogger

Mise à jour du 03/11/2010 par Idelways


Google étend sa récompense à la chasse aux failles (et au trésor vu le montant des récompenses) à ses applications en ligne.

Par conséquent, le géant des services en ligne lève, dans une démarche plutôt audacieuse, l'interdiction d'essayer de pirater les applications en production sur les domaines Google.com, Youtube, Blogger et Orkut.

Évidemment dans le seul et unique but d'y trouver des failles. Les chercheurs en sécurité (ou les amateurs de 12 ans) qui en trouvent seront récompensés.


Le montant des primes va de 500 $ pour un bug à $3,133.7 pour une faille critique trouvée, un chiffre au clin d'œil « so geek » (lire ci-avant).

L'heureux gagnant verra (s'il le veut) son nom publié dans une sorte de « hacking hall of fame ». De quoi embellir sérieusement un CV.

Google reste tout de même prudent et n'autorise qu'une liste restreinte d'attaques.

Exit donc le social engineering ou les attaques par déni de services.

Seuls les attaques de type : XSS, CSRF, XSSI (cross-site script inclusion), les tentatives de déjouer les contrôles d'authentification, exécuter du code du côté serveur ou injecter des commandes sont autorisés.

Ce qui fait déjà beaucoup de possibilités.


Source : blog Google Online Security


Et vous ?

Allez-vous chercher des failles sur les applications de Google ?
Que pensez-vous de cette démarche de rémunérer la chasse aux failles : pertinente, risquée ou inutile ?

En collaboration avec Gordon Fowler



Google Chrome : 3 133,7 dollars si vous découvrez une faille majeure
Google surenchérit de 133 dollars sur Mozilla


Google s'aligne sur les tarifs de Mozilla, qui vient cette semaine de multiplier par six sa prime pour les découvertes des vulnérabilités critiques dans Firefox. Il surenchérit même de 133.7$ dans le cadre de son programme Chromium Security Reward, une sorte de chasse récompensée aux failles non-corrigée du navigateur web Chrome.

Ce programme, lancé il y a six mois, connait un succès retentissant. Certains participants affirment que c'est grâce à ce programme qu'ils s'impliquent dans la sécurité de Chromium.

Mais ce n’est pas tout, Google annonce que même si elle reste à 500$, la récompense pour la découverte des bugs moins critiques pourrait être revue à la hausse s'ils sont présentés dans des rapports de haute qualité.

Un rapport est considéré de haute-qualité s'il inclut "une analyse précise des causes ou une discussion constructive amenant à la résolution des bugs", affirme Chris Evans sur le blog Google Chrome Security.

Mais pourquoi ce montant aussi précis, demanderez-vous ?

Tout simplement parce qu'en langage Leet (qui remplace les lettres romaines par des caractères ASCII), 3133.7 signifie... « eleet » - autrement dit « Leet ». Un private joke de Geek donc.

Quoiqu'il en soit, à 3 133,7$ le bug, la chasse à la faille devient intéressante, n'est-ce pas?

Mais la sandbox qui isole les processus de Chrome risque de rendre cette quête aussi longue que fastidieuse.

Après, à vous de voir.


Source : Blog Google Chrome Security



Lire aussi :

Mozilla offre 3000$ par faille de sécurité découverte, les récompenses pour les chercheurs en sécurité augmentent

Google veut réinventer les règles de divulgation des failles avec un "guide de bonne conduite" qui mettrait la pression sur les éditeurs

Windows : bilan sur le nouvel exploit zero-day, pour les experts il s'agit d'une première tant l'attaque est ciblée, étudiée et complexe


Les rubriques (actu, forums, tutos) de Développez :

Sécurité
Applications
Développement Web



Et vous ?

Où pensez-vous que cette course aux récompenses s'arrêtera ?



En collaboration avec Gordon Fowler

[Bryce de Mouriès]

Ouais longue vie au 1337 !

J'ai remarqué la même pureté chez |=|233 y a pas longtemps:
http://www.free.fr/adsl/index.html
(indice: la free boîte)

[playfone]

Ah pas mal la petite suptilitée

[Génoce]

De la pub pour g33k

[guilhem91]

Envoyé par Idelways

Tout simplement parce qu'en langage Leet (qui remplace les lettres romaines par des caractères ASCII), 3133.7 signifie... « eleet » - autrement dit « Leet ». Un private joke de Geek donc.

Vu comme ça

Quant à dire où ça s'arrêtera, tout dépend de l'entreprise. À mon avis, des grosses boîtes comme Google seraient prêtes à monter encore bien plus haut lorsqu'il est question de sécurité, et de se donner une bonne image...

[Flaburgan]

Je l'avais repéré rien qu'en lisant le titre. Je dois me faire soigner ?

[hugo123]

Ah ben j'avais pas compris
Ça aurait été 1664 j'aurais compris

[Thes32]

Envoyé par Idelways

Tout simplement parce qu'en langage Leet (qui remplace les lettres romaines par des caractères ASCII), 3133.7 signifie... « eleet » - autrement dit « Leet ». Un private joke de Geek donc.

A mon avis avec 31337 (eleet) google se rapproche de la langue française eleet-élite !

[ixpe]

Envoyé par Thes32

A mon avis avec 31337 (eleet) google se rapproche de la langue française eleet-élite !

Il me semble que ce "langage" est (etait?) souvent utilisé par les bidouilleurs / hackeurs qu on appelait 'elites'.
On parle aussi de "elite speak" (« langage de l'élite ») : ben ouais, ils ont souvent la grosse tête

C'est donc un petit clin d oeil à tous les bidouilleurs / hackeurs.
Dommage que la virgule soit utilisée : 3 1337 est plus propre non ?

[doublex]

On voit là le bon sens de Google. Ils paient celui qui trouve une faille. En France, pour le même motif, on punit...

[Idelways]

Google étend la chasse aux vulnérabilités à ses applications en ligne
3,133.7 $ pour celui (ou celle) qui trouve une faille critique sur Youtube, Orkut ou Blogger

Mise à jour du 03/11/2010 par Idelways


Google étend sa récompense à la chasse aux failles (et au trésor vu le montant des récompenses) à ses applications en ligne.

Par conséquent, le géant des services en ligne lève, dans une démarche plutôt audacieuse, l'interdiction d'essayer de pirater les applications en production sur les domaines Google.com, Youtube, Blogger et Orkut.

Évidemment dans le seul et unique but d'y trouver des failles. Les chercheurs en sécurité (ou les amateurs de 12 ans) qui en trouvent seront récompensés.


Le montant des primes va de 500 $ pour un bug à $3,133.7 pour une faille critique trouvée, un chiffre au clin d'œil « so geek » (lire ci-avant).

L'heureux gagnant verra (s'il le veut) son nom publié dans une sorte de « hacking hall of fame ». De quoi embellir sérieusement un CV.

Google reste tout de même prudent et n'autorise qu'une liste restreinte d'attaques.

Exit donc le social engineering ou les attaques par déni de services.

Seuls les attaques de type : XSS, CSRF, XSSI (cross-site script inclusion), les tentatives de déjouer les contrôles d'authentification, exécuter du code du côté serveur ou injecter des commandes sont autorisés.

Ce qui fait déjà beaucoup de possibilités.


Source : blog Google Online Security


Et vous ?

Allez-vous chercher des failles sur les applications de Google ?
Que pensez-vous de cette démarche de rémunérer la chasse aux failles : pertinente, risquée ou inutile ?

En collaboration avec Gordon Fowler

[amezghal]

Premier bug le lien vers le blog Google marche pas
hutteeee://googleo....

C'est quoi ce protocole hutteeee

[jfsenechal]

$3,133.7 pour une faille critique

ça c'est un tarif précis