Supongamos que se topa con una vulnerabilidad en algún sistema en línea, que es un producto comercial de una pequeña empresa de EE. UU. (de 1 a 50 empleados según Glassdoor). Ese sistema en línea se alojará para algunos clientes y se venderá a otros. La vulnerabilidad consistirá en el acceso no autorizado / la escalada de privilegios a través de la manipulación de URL, y permitirá que la información se filtre y se modifique, con la modificación de los datos una amenaza bastante teórica que se detectaría fácilmente: el problema principal es la filtración de datos confidenciales. Es razonable suponer que la empresa no querría que este problema se hiciera público. El proveedor no parece tener un programa de recompensas por errores.
No querrías explotar esta vulnerabilidad. Por el contrario, querrá asegurarse de que esta vulnerabilidad esté solucionada. Específicamente, querrá asegurarse de que los sistemas de los clientes estén actualizados y que los clientes estén informados sobre el potencial de fugas anteriores. (Esto último es difícil de detectar sin divulgación pública).
Idealmente, también agradecerías algún reconocimiento (no necesariamente dinero, tal vez algo que poner en tu CV vaya bien); idealmente, le agradecerían públicamente por encontrar y reportar la vulnerabilidad, junto con una divulgación pública. Obviamente, usted no haría que los pagos monetarios fueran una condición para la divulgación --- compare ¿Exige una" donación "antes de revelar las vulnerabilidades del comportamiento de black hat?
Entiendo que contactar con los clientes no sería lo ideal, por decir lo menos --- comparar contactando con clientes de software vulnerable, ¿está mal?
También entiendo que en los EE. UU. (suponga que no está basado en EE. UU., pero que tal vez quiera viajar allí), incluso la modificación de una URL puede considerarse ilegal --- compare ¿En qué punto se convierte en ilegal el "pirateo"? (EE.UU.) . Por lo tanto, es posible que uno no quiera ponerse en contacto con la compañía con un nombre real, al menos para comenzar.
Entonces, ¿cuáles son las formas buenas y seguras? Las siguientes soluciones alternativas vinieron a mi mente (estas son cuatro ideas individuales, no cuatro pasos de una idea):
-
Escriba un correo electrónico anónimo (a través de Tor, etc.)
-
convenza a la compañía de que un programa de recompensa de errores fue lo mejor para ellos. Espere a que comience, luego revele a través del programa de recompensas de errores. Esto tendría el beneficio de al menos alguna protección legal para la parte reveladora, tal como yo lo entiendo.
-
Revele a través de openbugbounty.org . Divulgar públicamente después de 90 días.
-
Reserve un CVE para probar más tarde que uno es el revelador.
Algunas preguntas relacionadas con las ideas anteriores (puedo dividirlas en preguntas individuales si la gente piensa que esto tiene sentido):
- Me encontré con este comment , que me suena mal:
En la extorsión, el pago es principalmente para no divulgar públicamente la vulnerabilidad, no tanto para su divulgación privada. Si solo pidiera dinero para la divulgación privada sin amenazar con explotarlo o divulgarlo públicamente, no lo consideraría una extorsión.
¿Es esta una opinión aceptada?
-
¿Cómo se haría eso sin parecer extorsivo? ¿Se puede divulgar públicamente si el programa de recompensa de errores no implica la divulgación pública por parte de la empresa?
-
¿Está disponible para usar en cualquier sitio web o solo sitios web participantes?
-
¿Entonces qué?