Abo
  • Services:
Anzeige
Kymberlee Price von Bugcrowd im Gespräch mit Golem.de
Kymberlee Price von Bugcrowd im Gespräch mit Golem.de (Bild: Hauke Gierow/Golem.de)

Bugcrowd: Hacker und Pentester auf Bestellung

Kymberlee Price von Bugcrowd im Gespräch mit Golem.de
Kymberlee Price von Bugcrowd im Gespräch mit Golem.de (Bild: Hauke Gierow/Golem.de)

Tesla hat eins. GM hat eins. Und jetzt sogar das Pentagon. Doch nicht für alle Unternehmen sind offene Bug-Bounty-Programme die richtige Wahl, wie Kymberlee Price von der Sicherheitsplattform Bugcrowd im Gespräch mit Golem.de sagt.
Von Hauke Gierow

"Viele Unternehmen haben nicht das Geld, ein eigenes IT-Security-Team aufzustellen. Oft brauchen sie aber auch nicht den einen Hacker in Vollzeit - sondern vielleicht fünf Prozent seiner Zeit", sagt Kymberlee Price im Gespräch mit Golem.de. Price ist Senior Director for Researcher Operations bei Bugcrowd. Das heißt: Sie ist verantwortlich dafür, 25.000 Sicherheitsforscher auf die richtigen Sicherheitsprogramme verschiedener Firmen zu verteilen.

Anzeige

"Ein Bounty-Programm ist eigentlich nichts weiter als die Verlängerung eines guten internen Umgangs mit Sicherheitslücken", sagt Price, die vor ihrer Tätigkeit für Bugcrowd für Microsoft und Blackberry gearbeitet hat. Bei Blackberry war sie für die Kommunikation mit externen Hackern und Sicherheitsforschern zuständig. Ein Bug-Bounty-Programm hatte das Unternehmen damals wie heute nicht. Das sei aber auch nicht unbedingt notwendig. "Ein Bounty-Programm ist nicht für jedes Unternehmen das Richtige." Viele potenzielle Sicherheitsbedrohungen ließen sich durch gezielte, tiefe Analysen wie Code-Audits oder Pentesting deutlich besser ausmachen.

Pentesting statt nur Bug-Bounties

Bugcrowd wurde im Jahr 2012 gegründet, das Unternehmen will mehr Firmen einen Zugang zu unabhängigen Sicherheitsforschern geben. Anders als bei Hacker One liegt der Fokus nicht auf Bug-Bounty-Programmen, sondern auf komplexeren Analysen von Hardware und Software unter bestimmten Bedingungen. Das Unternehmen hat seinen Hauptsitz in San Francisco, in einem niedrigen Backsteinhaus. Wie in einem Tech-Startup üblich, gibt es einen mit Softdrinks und Frapuchinos gut gefüllten Kühlschrank.

Wenn ein Unternehmen ein bestimmtes Programm durchführen will, stellt das Bugcrowd-Team auf Wunsch ein Team aus Hackern aus der Datenbank zusammen. Dabei wird berücksichtigt, wie aktiv die Personen in der Vergangenheit waren und ob sie erfolgreich Sicherheitslücken gefunden haben. "Forscher bekommen auf unserer Plattform Kudos-Punkte, wenn sie Berichte abliefern", erklärt Price.

Wer zu viele Duplikate liefert, wird bestraft

Wer mehr Kudos-Punkte hat, der wird auch eher in ein Programm eingeladen. Damit soll die Crowd zu einer dauerhaften und aktiven Mitarbeit bewegt werden. Diese Kudos-Punkte sind völlig unabhängig von gezahlten Bounties, auch für Duplikate können Teilnehmer diese Punkte bekommen. Wer allerdings nur Duplikate und falsche Berichte einreicht, bekommt Punkte abgezogen.

Neben den Programmen, die von Bugcrowd gemanagt werden, gibt es Unternehmen, die dies selbst tun, und nur die Plattform und den Zugang zu den rund 25.000 Hackern nutzen. Auf der Webseite gibt es zahlreiche öffentliche Programme, von großen Unternehmen wie Tesla bis hin zu dem Open-Source-Whistleblowing-Projekt Securedrop. Nicht alle Programme geben monetäre Anreize, bei vielen gibt es nur Kudos-Punkte.

Nur der erste Finder bekommt Geld

Für die Unternehmen praktisch: Nur wer eine Sicherheitslücke als erster findet, bekommt auch Geld. "Sie bezahlen nicht für den Versuch, sondern für Ergebnisse", schreibt das Unternehmen auf seiner Webseite. Die Bugs werden nach verschiedenen Kategorien eingeordnet, die dann auch die gezahlte Prämie bestimmen. Hier wurden die Kriterien vor kurzem überarbeitet, damit Teilnehmer der Programme einfacher einschätzen können, wie viel Belohnung sie erwarten können.

Sind Bug-Bounties schädlich für Pentester? 

eye home zur Startseite
yoyoyo 06. Apr 2016

Auch den Besten passieren Fehler oder es geht einem mal komplett ein Vektor ab. Es kann...

picaschaf 05. Apr 2016

:D Also ein Darknet musst du dafür nicht bemühen, du willst doch ordentliche Arbeit und...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Leonberg
  2. über Hays AG, Region Karlsruhe
  3. Wüstenrot & Württembergische Informatik GmbH, Ludwigsburg
  4. OSRAM GmbH, Garching bei München


Anzeige
Hardware-Angebote

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Konkurrenz zu Amazon Echo

    Hologramm-Barbie soll digitale Assistentin werden

  2. Royal Navy

    Hubschrauber mit USB-Stick sucht Netzwerkanschluss

  3. Class-Action-Lawsuit

    Hunderte Ex-Mitarbeiter verklagen Blackberry

  4. Rivatuner Statistics Server

    Afterburner unterstützt Vulkan und bald die UWP

  5. Onlinewerbung

    Youtube will nervige 30-Sekunden-Spots stoppen

  6. SpaceX

    Trägerrakete Falcon 9 erfolgreich gestartet

  7. Hawkeye

    ZTE bricht Crowdfunding-Kampagne ab

  8. FTTH per NG-PON2

    10 GBit/s für Endnutzer in Neuseeland erfolgreich getestet

  9. Smartphones

    FCC-Chef fordert Aktivierung ungenutzter UKW-Radios

  10. Die Woche im Video

    Die Selbstzerstörungssequenz ist aktiviert



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mobile-Games-Auslese: Schiffbruch auf der Milchstraße für mobile Spieler
Mobile-Games-Auslese
Schiffbruch auf der Milchstraße für mobile Spieler

München: Wie Limux unter Ausschluss der Öffentlichkeit zerstört wird
München
Wie Limux unter Ausschluss der Öffentlichkeit zerstört wird
  1. US-Präsident Zuck it, Trump!
  2. Begnadigung Danke, Chelsea Manning!
  3. Glasfaser Nun hängt die Kabel doch endlich auf!

Pure Audio: Blu-ray-Audioformate kommen nicht aus der Nische
Pure Audio
Blu-ray-Audioformate kommen nicht aus der Nische

  1. Die Grenze des Sinnvollen gibts bei jeder Technik

    postb1 | 17:10

  2. Re: Geht bitte nicht wählen!

    piratentölpel | 17:09

  3. Re: Wichtig ist die Glasfaser im Haus

    lennartc | 17:04

  4. Re: Dann doch lieber 50 mbit

    Proctrap | 16:51

  5. Re: China-Handys

    Peter Brülls | 16:47


  1. 14:00

  2. 12:11

  3. 11:29

  4. 11:09

  5. 10:47

  6. 18:28

  7. 14:58

  8. 14:16


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel