Abo
  • Services:
Anzeige
Kymberlee Price von Bugcrowd im Gespräch mit Golem.de
Kymberlee Price von Bugcrowd im Gespräch mit Golem.de (Bild: Hauke Gierow/Golem.de)

Bugcrowd: Hacker und Pentester auf Bestellung

Kymberlee Price von Bugcrowd im Gespräch mit Golem.de
Kymberlee Price von Bugcrowd im Gespräch mit Golem.de (Bild: Hauke Gierow/Golem.de)

Tesla hat eins. GM hat eins. Und jetzt sogar das Pentagon. Doch nicht für alle Unternehmen sind offene Bug-Bounty-Programme die richtige Wahl, wie Kymberlee Price von der Sicherheitsplattform Bugcrowd im Gespräch mit Golem.de sagt.
Von Hauke Gierow

"Viele Unternehmen haben nicht das Geld, ein eigenes IT-Security-Team aufzustellen. Oft brauchen sie aber auch nicht den einen Hacker in Vollzeit - sondern vielleicht fünf Prozent seiner Zeit", sagt Kymberlee Price im Gespräch mit Golem.de. Price ist Senior Director for Researcher Operations bei Bugcrowd. Das heißt: Sie ist verantwortlich dafür, 25.000 Sicherheitsforscher auf die richtigen Sicherheitsprogramme verschiedener Firmen zu verteilen.

Anzeige

"Ein Bounty-Programm ist eigentlich nichts weiter als die Verlängerung eines guten internen Umgangs mit Sicherheitslücken", sagt Price, die vor ihrer Tätigkeit für Bugcrowd für Microsoft und Blackberry gearbeitet hat. Bei Blackberry war sie für die Kommunikation mit externen Hackern und Sicherheitsforschern zuständig. Ein Bug-Bounty-Programm hatte das Unternehmen damals wie heute nicht. Das sei aber auch nicht unbedingt notwendig. "Ein Bounty-Programm ist nicht für jedes Unternehmen das Richtige." Viele potenzielle Sicherheitsbedrohungen ließen sich durch gezielte, tiefe Analysen wie Code-Audits oder Pentesting deutlich besser ausmachen.

Pentesting statt nur Bug-Bounties

Bugcrowd wurde im Jahr 2012 gegründet, das Unternehmen will mehr Firmen einen Zugang zu unabhängigen Sicherheitsforschern geben. Anders als bei Hacker One liegt der Fokus nicht auf Bug-Bounty-Programmen, sondern auf komplexeren Analysen von Hardware und Software unter bestimmten Bedingungen. Das Unternehmen hat seinen Hauptsitz in San Francisco, in einem niedrigen Backsteinhaus. Wie in einem Tech-Startup üblich, gibt es einen mit Softdrinks und Frapuchinos gut gefüllten Kühlschrank.

Wenn ein Unternehmen ein bestimmtes Programm durchführen will, stellt das Bugcrowd-Team auf Wunsch ein Team aus Hackern aus der Datenbank zusammen. Dabei wird berücksichtigt, wie aktiv die Personen in der Vergangenheit waren und ob sie erfolgreich Sicherheitslücken gefunden haben. "Forscher bekommen auf unserer Plattform Kudos-Punkte, wenn sie Berichte abliefern", erklärt Price.

Wer zu viele Duplikate liefert, wird bestraft

Wer mehr Kudos-Punkte hat, der wird auch eher in ein Programm eingeladen. Damit soll die Crowd zu einer dauerhaften und aktiven Mitarbeit bewegt werden. Diese Kudos-Punkte sind völlig unabhängig von gezahlten Bounties, auch für Duplikate können Teilnehmer diese Punkte bekommen. Wer allerdings nur Duplikate und falsche Berichte einreicht, bekommt Punkte abgezogen.

Neben den Programmen, die von Bugcrowd gemanagt werden, gibt es Unternehmen, die dies selbst tun, und nur die Plattform und den Zugang zu den rund 25.000 Hackern nutzen. Auf der Webseite gibt es zahlreiche öffentliche Programme, von großen Unternehmen wie Tesla bis hin zu dem Open-Source-Whistleblowing-Projekt Securedrop. Nicht alle Programme geben monetäre Anreize, bei vielen gibt es nur Kudos-Punkte.

Nur der erste Finder bekommt Geld

Für die Unternehmen praktisch: Nur wer eine Sicherheitslücke als erster findet, bekommt auch Geld. "Sie bezahlen nicht für den Versuch, sondern für Ergebnisse", schreibt das Unternehmen auf seiner Webseite. Die Bugs werden nach verschiedenen Kategorien eingeordnet, die dann auch die gezahlte Prämie bestimmen. Hier wurden die Kriterien vor kurzem überarbeitet, damit Teilnehmer der Programme einfacher einschätzen können, wie viel Belohnung sie erwarten können.

Sind Bug-Bounties schädlich für Pentester? 

eye home zur Startseite
yoyoyo 06. Apr 2016

Auch den Besten passieren Fehler oder es geht einem mal komplett ein Vektor ab. Es kann...

picaschaf 05. Apr 2016

:D Also ein Darknet musst du dafür nicht bemühen, du willst doch ordentliche Arbeit und...



Anzeige

Stellenmarkt
  1. cab Produkttechnik GmbH & Co. KG, Karlsruhe
  2. AEbt Angewandte Eisenbahntechnik GmbH, Nürnberg
  3. Bundesamt für Verfassungsschutz, Köln
  4. Haufe Group, Freiburg im Breisgau


Anzeige
Top-Angebote
  1. 13,49€
  2. 8,49€

Folgen Sie uns
       


  1. Bildbearbeitung

    Google-Algorithmus entfernt Wasserzeichen auf Fotos

  2. Ladestationen

    Regierung lehnt Zwangsverkabelung von Tiefgaragen ab

  3. Raspberry Pi

    Raspbian auf Stretch upgedated

  4. Trotz Förderung

    Breitbandausbau kommt nur schleppend voran

  5. Nvidia

    Keine Volta-basierten Geforces in 2017

  6. Grafikkarte

    Sonnets eGFX Breakaway Box kostet 330 Euro

  7. E-Commerce

    Kartellamt will Online-Shops des Einzelhandels schützen

  8. id Software

    Quake Champions startet in den Early Access

  9. Betrug

    Verbraucherzentrale warnt vor gefälschten Youporn-Mahnungen

  10. Lenovo

    Smartphone- und Servergeschäft sorgen für Verlust



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
C64-Umbau mit dem Raspberry Pi: Die Wiedergeburt der Heimcomputer-Legende
C64-Umbau mit dem Raspberry Pi
Die Wiedergeburt der Heimcomputer-Legende

Ikea Trådfri im Test: Drahtlos (und sicher) auf Schwedisch
Ikea Trådfri im Test
Drahtlos (und sicher) auf Schwedisch
  1. Die Woche im Video Kündigungen, Kernaussagen und KI-Fahrer
  2. Automatisierte Lagerhäuser Ein riesiger Nerd-Traum
  3. Augmented Reality Ikea will mit iOS 11 Wohnungen virtuell einrichten

Surface Laptop im Test: Microsofts Next Topmodel hat zu sehr abgespeckt
Surface Laptop im Test
Microsofts Next Topmodel hat zu sehr abgespeckt
  1. Unzuverlässige Surfaces Microsoft widerspricht Consumer Reports
  2. Microsoft Surface Pro im Test Dieses Tablet kann lange
  3. Microsoft Neues Surface Pro fährt sich ohne Grund selbst herunter

  1. Re: "Kriminelle Kampagnen werden immer raffinierter."

    p4m | 22:31

  2. Re: Rechner mit Termin zu Haftprüfung und...

    ptepic | 22:13

  3. Re: Ich blocke nicht die Werbung auf Golem.

    elf | 22:13

  4. Re: Dabei reichten Störungen von einem halben...

    Cok3.Zer0 | 22:10

  5. Re: Simple lösung

    MarioWario | 22:08


  1. 14:38

  2. 12:42

  3. 11:59

  4. 11:21

  5. 17:56

  6. 16:20

  7. 15:30

  8. 15:07


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel