Yahoo sa hanbil zvyšovať žalostne malú odmenu za chybu

Pred pár dňami vedci zo švajčiarskej bezpečnostnej spoločnosti High-Tech Bridge informovali o jednoduchom experimente. Strávili deň vyčesávaním chýb na webových stránkach spoločnosti Yahoo, našli tri vážne a odoslali ich spoločnosti Yahoo, aby vyhodnotili program odmien spoločnosti za chyby. Ich odmena? 12, 50 dolárov za chybu, splatné iba v obchodnom dome spoločnosti Yahoo. Yahoo možno zahanbil pozornosť zameranú na túto žalostne malú odmenu a zvýšil tak odmenu za chybu. V závislosti od závažnosti hláseného problému budú teraz výskumníci dostávať správu od 150 do 15 000 dolárov. A áno, to je v hotovosti, nie v tričkách.

Osobné poďakovanie

V ľudovom blogovom príspevku Ramsesa Martineza, označeného ako „Režisér, Yahoo Paranoids“, vysvetlil históriu programu odplaty a jeho nový smer. „Začal som posielať tričko ako osobné„ poďakovanie “, “ povedala Martinez. "Dokonca som si kúpil tričká za svoje vlastné peniaze." Neskôr, pretože niektorí predkladatelia už dostali tričko, „Začal som kupovať darčekový certifikát, aby mohli získať ďalší darček podľa vlastného výberu.“

Martinez poznamenáva, že hlavnou vecou, ​​ktorú mnohí vedci potrebujú výmenou za nahlásenie chyby, je „list, ktorý by mohol ukázať svojmu šéfovi alebo klientovi“. Tričká a darčekové certifikáty boli na vrchu iba osobným poďakovaním. Pokiaľ ide o skutočný dôkaz: „Píšem tieto listy sám.“

Nové zásady vykazovania

Podľa príspevku Martineza si Yahoo už uvedomil, že politika odmien o chybe vyžaduje upgrade. "Bezpečnostný tím dokončoval revidovaný program." „Namiesto toho, aby sme už čakali dlhšie, rozhodli sme sa pozrieť si čo najskôr našu novú politiku nahlasovania zraniteľností.“

Všetky podrobnosti si môžete prečítať v Martinezovom príspevku. Spoločnosť Yahoo zefektívni proces podávania správ, bude sa snažiť čo najskôr overovať správy a bude pracovať ešte ťažšie na včasnom riešení problémov. Tí, ktorí hlásia overené chyby, budú kontaktovaní „najneskôr do štrnástich dní po odoslaní (ale zvyčajne oveľa rýchlejšie)“ a od spoločnosti Yahoo dostanú formálne uznanie. „Pokiaľ ide o najlepšie nahlásené problémy, z našej stránky priamo zavoláme príspevok jednotlivca do„ siene slávy “.“ “

Už žiadne tričká ani lup ako odmena. „Yahoo odteraz odmeňuje jednotlivcov a firmy, ktoré identifikujú to, čo klasifikujeme ako nové, jedinečné a / alebo vysoko rizikové problémy v rozmedzí 150 - 15 000 dolárov.“ Pokiaľ ide o veľkosť odmeny, „bude určená jasným systémom založeným na súbore definovaných prvkov, ktoré zachytávajú závažnosť problému.“ Táto politika nadobudne účinnosť do konca októbra a bude účinná so spätnou účinnosťou do 1. júla 2013. „Zahŕňa to samozrejme kontrolu výskumných pracovníkov na moste High-Tech Bridge, ktorým sa moje tričko nepáčilo, “ vtipkoval Martinez.,

Jednoznačné zlepšenie

„Nerobili sme náš výskum za peniaze, ako sme jasne uviedli spoločnosti Yahoo pri hlásení zraniteľností, “ uviedla generálna riaditeľka spoločnosti High-Tech Bridge Ilia Kolochenko. „Sme však radi, že spoločnosť Yahoo teraz zavádza nový program Bug Bounty, ktorý uľahčí ich vzťahy s výskumnými pracovníkmi v oblasti bezpečnosti a pomôže im zlepšiť ich firemnú bezpečnosť. To je určite dobrá správa.“

Faktom však zostáva, že ostatní hlavní hráči vyplácajú oveľa väčšie odmeny za chyby. Microsoft vydržal na dlhú dobu, ale začiatkom tohto roka zaviedla odmenu až 100 000 dolárov. Facebook zaplatil viac ako milión dolárov v bugových odmenách a spoločnosť Google údajne vyplatila viac ako dva milióny. Na druhej strane je odmenou spoločnosti Apple tým, ktorí nájdu významné chyby, sláva, nič viac. Nový plán spoločnosti Yahoo spadá niekde uprostred; uvidíme, ako to pre nich vyjde.