Microsoft започна да плаща между 500 и 20 000 долара на всеки, който намери сериозна уязвимост в Xbox Live – облачната мрежа, на която се държат конзолите на компанията и предстоящата стрийминг услуга xCloud.
Накратко
- Новата програма „Xbox Bounty“ покрива услугите на Xbox Live, а наградите започват от около 500 и стигат до 20 000 долара.
- Най-високо се оценяват критични грешки с отдалечено изпълнение на код и такива, които повишават привилегиите.
- Microsoft очаква ясен доклад с доказателство за концепцията, а не DDoS и социален инженеринг.
Какво обяви Microsoft
Компанията представи програмата в началото на 2020 г., а в технологичните медии новината се разпространи в първите дни на февруари. Става дума за класически „bug bounty“ – вместо проблемите да остават скрити или да се продават на трети страни, изследователите са насърчени да ги докладват директно на производителя срещу парично възнаграждение. Докладите се подават през портала на Microsoft Security Response Center (MSRC), който вече обслужва програмите за Windows, Azure и други продукти.
Подобни инициативи не са новост за компанията. През годините тя е пускала награди за различни свои продукти, като за най-тежките пропуски в Hyper-V и защитата на Windows 10 изплаща суми, достигащи стотици хиляди долара. Xbox програмата е по-скромна по размер, но е насочена към съвсем различна аудитория – геймъри и изследователи, които обичат да „ровят“ в игровите услуги.
Колко се плаща и за какво
Според съобщенията тогава наградите варират от 500 до 20 000 долара. Най-големите суми са за критични уязвимости с отдалечено изпълнение на код (RCE) и за повишаване на привилегиите – тоест ситуации, при които външен човек може да поеме контрол над услуга или да получи достъп до чужди акаунти. По-малко критичните категории – заобикаляне на защитни функции, разкриване на информация, подправяне и промяна на данни – получават награди до 5000 долара. Microsoft уточнява, че при особено качествен доклад или голямо въздействие на пропуска сумата може да бъде и по-висока.
Програмата обхваща облачната инфраструктура зад Xbox Live. Условието е грешката да е нова – т.е. да не е докладвана преди това – и да е открита в актуалната версия на услугата. Важно е да се отбележи, че обхватът и сумите са описани според тогавашните публикации; те са се променяли оттогава.
Какви доклади очаква компанията
Microsoft ясно е посочила, че търси висококачествени отчети. Те трябва да съдържат подробно описание, а при възможност – видео демонстрация и недвусмислено доказателство за концепцията (proof of concept). Докладът, който само твърди, че нещо „може би“ е уязвимо, няма да получи награда.
От другата страна на границата са изрично изключени методи, които могат да навредят на реални потребители: DDoS тестове, атаки чрез социален инженеринг и прекомерно натоварване на сървърите. Така компанията защитава услугата, на която разчитат милиони играчи, и същевременно дава правила на изследователите как да действат етично.
Защо моментът е важен
Времето не е случайно. Microsoft подготвя пускането на Xbox Series X – конзолата, обявена през декември 2019 г. за празничния сезон на 2020 г. – както и стрийминг услугата xCloud, която тогава е в предварителен тест. И двете продукта разчитат на мрежата на Xbox Live, така че всяка пробойна в нея засяга много повече хора от един-единствен геймър с компрометиран акаунт. Колкото по-рано външни специалисти тестват системата, толкова по-малка е вероятността проблемите да излязат наяве след старта.
За обикновения потребител от това следва, че игровите платформи се третират все по-сериозно като пълноценни онлайн услуги – с профили, плащания и лични данни – а не просто като устройства за забавление. Затова за сигурността на акаунта продължава да е добре да ползвате двуфакторна защита, както пояснихме в нашето ръководство за киберсигурността, и да следите за редовните обновления за сигурност на устройствата си.
По-късно
По-късно Microsoft актуализира условията на Xbox Bounty: на официалната страница на програмата днес минималната награда е 1250 долара, а горната граница от 20 000 долара се запазва. Подобен подход – с публични награди и ясни правила – днес се прилага и в областта на изкуствения интелект, където AI системи вече сами търсят дупки в софтуера.
Тази статия е публикувана първоначално в СмартМакс на 4 февруари 2020 г. и е възстановена от архива на сайта. Информацията отразява известното към датата на публикуване.
