HackerOne ha ampliato il progetto Internet Bug Bounty per rafforzare la sicurezza complessiva dell'open source.
I progetti open source, gestiti da individui e team di sviluppatori in tutto il mondo, fanno affidamento su qualsiasi cosa, dai giocatori aziendali alle PMI.
I componenti open source sono archiviati e condivisi pubblicamente e possono variare da sistemi operativi completi a librerie, strumenti didattici e software server, tra molte altre funzioni.
In un recente sondaggio, la Linux Foundation e edX hanno scoperto che la domanda di programmatori ed esperti open source continua a crescere, ma il 92% dei manager sta affrontando sfide quando si tratta di trovare il talento necessario per riempire le attuali offerte di lavoro.
Con una carenza già in atto e molti progetti open source alimentati da sviluppatori che non vengono pagati per i loro sforzi, a volte, i problemi di sicurezza possono sfuggire alla rete. Nel 2020, una ricerca su GitHub ha suggerito che in media possono essere necessari fino a quattro anni per scoprire le vulnerabilità dell'open source, l'83% delle quali è causato da errori ed errori umani.
Di conseguenza, il repository di codice ha affermato che ci sono “chiare opportunità per migliorare il rilevamento delle vulnerabilità” nello spazio open source.
Non si tratta solo di rilevamento, tuttavia; anche le correzioni alle vulnerabilità devono essere sviluppate e applicate in modo sicuro.
È qui che entra in gioco il progetto Internet Bug Bounty (IBB). Ora gestito da HackerOne, IBB è descritto come un progetto per “raccogliere finanziamenti e incentivare i ricercatori di sicurezza a segnalare le vulnerabilità all'interno del software open source”.
Ora è stato introdotto un nuovo modello di finanziamento, con modelli partecipanti tra cui Elastic, TikTok, Shopify e Facebook.
Ci sono tre cambiamenti principali: i clienti di HackerOne ora avranno la possibilità di mettere in comune tra l'1% e il 10% della loro spesa esistente per il progetto open source – di cui potrebbero utilizzare componenti nell'ambito – e le taglie saranno ora divise tra hacker e manutentori con una divisione 80/20.
“Dal momento che i manutentori del software open source si offrono volontari per aiutare a correggere le vulnerabilità scoperte, la suddivisione delle taglie garantisce il pagamento per ogni stakeholder che contribuisce alla gestione delle vulnerabilità”, afferma HackerOne.
La terza modifica è una procedura semplificata per l'invio di segnalazioni di vulnerabilità.
Dal suo lancio nel 2013, sono state segnalate oltre 1.000 vulnerabilità, con quasi 300 cacciatori di taglie di bug che hanno guadagnato premi finanziari per un totale di circa $ 900.000.
I progetti attualmente nell'ambito includono Ruby, Node.js, Python, Django e Curl, con più opzioni impostate per essere aperte in futuro.
“I recenti attacchi informatici contro le catene di approvvigionamento del software dimostrano l'urgenza di proteggere questi punti ciechi organizzativi. E il software open source rappresenta una porzione crescente delle superfici critiche di attacco della catena di approvvigionamento del mondo”, ha affermato Alex Rice, CTO e co-fondatore di HackerOne. “Il nuovo IBB consente alle organizzazioni beneficiarie dell'open source di svolgere un ruolo attivo nella creazione collettiva di un'infrastruttura digitale più sicura per tutti”.
Copertura precedente e correlata
I 10 migliori programmi di bug bounty pubblici di HackerOne per il 2020
Incontra gli hacker che guadagnano milioni per salvare il Web, un bug alla volta
Cybersecurity: ecco come molti dei migliori hacker stanno guadagnando dalle ricompense di bug
Hai un consiglio? Mettiti in contatto in modo sicuro tramite WhatsApp | Segnale al numero +447713 025 499 o tramite Keybase: charlie0
Argomenti correlati:
Sicurezza open source Gestione dati TV CXO Data Center 