Buena tarde amigos en estos
últimos días me han contactado varios egresados de la Certified White Hat
Profesional que desde el año 2006 estamos impartiendo vía online y presencial
en el Centro de Investigaciones en Seguridad Informática:
www.ccat.edu.mx
y recuerden nos vemos en el x. Cyber Security Conferences del próximo año: 2016
www.x25.org.mx
y como decía me han contactado
para mostrarme que han encontrado diferentes vulnerabilidades en diferentes
sitios web de muchísimas empresas importantes en México y el mundo tales como
ACER - MICROSOFT y muchas más y su pregunta es la misma siempre:
Profesor mire encontré esta
vulnerabilidad en xxxx sitio cómo ve usted la publico en internet y en Facebook
para que los demás la conozcan?
Y pues ahí está el detalle de la
contestación amigos, NO LA PUBLIQUEN,
jejeje si amigos como lo oyen.
NO LA PUBLIQUEN mejor al tener la
vulnerabilidad ya establecida y probada piensen que existe una opción mejor que
es la llamada:
BUG BOUNTY
Pero qué es esto? Bueno basados en la definición que WIKIPEDIA
nos ofrece es:
Es un programa de recompensas monetarias
normalmente ofrecido por varios sitios web tales como facebook. Microsoft y
muchas más en al cuales si tu encuentras
un BUG y se los reportas oficialmente a las empresas afectadas ellos una vez confirmada te dan una aportación
así como también puedes recibir un reconocimiento especialmente si estos bugs son del lado de
exploit y vulnerabilidades.
Estos programas de compensación para los investigadores en seguridad
informática permiten a las empresas
resolver vulnerabilidades mucho antes que alguien más las encuentre y que podrían
afectar a su empresa y causar un mal mayor así previenen incidentes de abuso y
robo de datos.
Las compensaciones monetarias en
diferente empresas varían conforme al peligro inminente que ese bug sea como la
muy famosa vulnerabilidad de un investigador llamado: Khalil que uso un vulnerabilidad de FACEBOOK para publicar
en la timeline sin autorización en las biografías
de los integrantes y este hacker público en nombre del creador de Facebook Mark
Zuckerberg. Un mensaje entonces el
hacker la reporte pero basados en el escueta explicación del reporte que KHALIL
dio ESTE NO FUE considerado bug.
Pero no se preocupen amigos hoy
en día hay muchísimas empresa que tienen ese programa y los incito y además invito
a que se unan a este BUG BOUNTY y que si encuentran una vulnerabilidad de
alguna empresa hagan lo siguiente:
1.
Documenten perfectamente la vulnerabilidad encontrada
2.
Manden un email a la empresa vulnerada preguntando si
tienen plan de recompensas (bug bounty).
3.
Si les comentan que si lo tienen, manden otro segundo email comentando que te envíen
el plan de recompensas disponible.
4.
Una vez recibida la respuesta envíenles el reporte bien
documentado y esperen a que la empresa los meta en esa plan y listo a disfrutar
de un dinerito (money) que no cae mal.
Y por qué les digo que mejor
hagan esto?
Ya que hoy en día todos o la mayoría
estamos acostumbrados a mandar, publicar o distribuir estos bugs encontrados en
internet por el simple hecho de decir que uno lo encontró por que no mejor si encuentras uno avísale a
la empresa y pregunta por sus planes de recompensas y que mejor obtener una compensación.
;P
Y si la empresa no tiene ese tipo
de planes?
Pues ahí si tú sabrás, se los das free
y los ayudas a ahorrarse millones de dólares
o pesos en contratar gente que investigue y encuentre los bugs o sigues el método
tradicional que es el de publicarlas en internet para hacerte famoso o LE ENTRAS AL BUG BOUNTY. ;p
Les dejo aquí una lista de las
empresas que dan ese servicio de BUG BOUNTY
Company
|
New
|
Reward
|
Swag
|
Hall of Fame
|
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
Yes
|
||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
Yes
|
||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
Yes
|
||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
Yes
|
||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
Yes
|
||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
Yes
|
||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
Yes
|
||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
Yes
|
||||
Yes
|
Yes
|
|||
Yes
|
Yes
|
|||
lista tomada de aqui: https://bugcrowd.com/list-of-bug-bounty-programs
No hay comentarios:
Publicar un comentario