• IT-Karriere:
  • Services:

Hackerone: Raus mit den Bugs

Eine private Armee von 20.000 Sicherheitsforschern - das verspricht Hackerone seinen Kunden, die ihr Bug-Bounty-Programm über die Plattform laufen lassen. Wir haben mit dem Startup und seinem Kunden Owncloud über technische und politische Herausforderungen des Disclosure-Prozesses gesprochen.

Artikel von veröffentlicht am
Die Webseite von Hackerone
Die Webseite von Hackerone (Bild: Screenshot Golem.de)

Wohin mit dem Bug? Diese Frage stellen sich Sicherheitsforscher häufig, wenn sie Lücken gefunden haben. Denn noch immer haben nicht alle großen Softwarefirmen ein Bug-Bounty-Programm oder überhaupt einen geregelten Prozess, mit dem externe Sicherheitsforscher Lücken melden können. Viele Forscher sind außerdem frustriert, weil Unternehmen entweder gar nicht auf Meldungen reagieren und die Lücken jahrelang ungepatcht lassen oder sogar rechtliche Schritte gegen die Forscher einleiten.

Das kalifornische Startup Hackerone möchte das ändern. "Wir wollen den Disclosure-Prozess von Sicherheitslücken revolutionieren - mit Technologie und mit Policy-Arbeit", sagt Katie Moussouris, Chief Policy Officer von Hackerone. "Wir wollen ein sichereres Internet für alle schaffen." Die Aussage muss natürlich um den üblichen Silicon-Valley-Marketing-Sprech bereinigt werden - doch Kunden der Plattform sind sehr angetan von dem, was das Unternehmen bislang anbietet.

Hackerone stellt seit 2013 eine Plattform bereit, mit der sich Sicherheitsforscher und Unternehmen vernetzen können. Die Unternehmen müssten sich aktiv zur Kooperation mit der Plattform entscheiden, sagt Katie Moussouris im Gespräch mit Golem.de. Bevor sie auf der Plattform um Sicherheitsforscher werben dürfen, sind sie verpflichtet, den allgemeinen Geschäftsbedingungen zuzustimmen. Darin verpflichten sie sich zum Beispiel, keine Sicherheitsforscher zu verklagen, die in guter Absicht ("in good faith") handeln.

Die technischen Probleme sind weitgehend gelöst

Die technische Seite hat das Unternehmen vorläufig gelöst - die Hackerone-Plattform ermöglicht es Sicherheitsforschern, Schwachstellen direkt an die dort gelisteten Unternehmen zu schicken. Auch die weitere Kommunikation kann direkt über die Plattform abgewickelt werden. Doch das ist noch nicht genug: "Viele Politiker wissen nicht genau, was Sicherheitslücken eigentlich sind", sagt Moussouris. "Viele haben zwar schon mal den Begriff 0-Day gehört. Doch über die tatsächlichen Herausforderungen der IT-Sicherheit wissen sie nicht viel. Wir versuchen daher auch, eine bessere politische Aufmerksamkeit für die Herausforderungen der IT-Security zu schaffen.". Zahlreiche Gesetze behindern Sicherheitsforscher in ihrer Arbeit - zum Beispiel der Digital Millenium Copyright Act in den USA, der die Umgehung von Sicherheitsmaßnahmen verbietet - doch genau das ist oft nötig, um Bugs zu finden.

Stellenmarkt
  1. Bundeskriminalamt, Wiesbaden
  2. RAYLASE GmbH, Weßling

Auch in Deutschland befinden sich Sicherheitsforscher nach der Einführung des "Hacker-Tools"-Paragrafen häufig in einer rechtlichen Grauzone - auch wenn es bislang wenige dokumentierte Fälle gibt, in denen Hacker deshalb tatsächlich rechtliche Probleme hatten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Auch viele Unternehmen haben Probleme im Umgang mit Sicherheitsforschern 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Top-Angebote
  1. 599€ (Bestpreis mit Alternate. Vergleichspreis ab ca. 660€)
  2. (u. a. The Crew 2 für 10,49€, Mount & Blade II - Bannerlord für 33,99€ und Mortal Kombat 11...
  3. 182,99€ (Vergleichspreis 204€)

Moe479 20. Dez 2015

sollte man zumindest so machen ... sonst wird man im fall der fälle einfach wie al capone...

Schattenwerk 19. Dez 2015

Verstehe ich gut und gerade daher finde ich so ein Projekt ja super. Dort müssen sich...

Bassa 19. Dez 2015

Naja. So ganz ernst war das eh nicht. Und man kann das auch ohne sexuelle Komponente...

Bouncy 18. Dez 2015

Interessantes Thema, aber ein seeehr bemüht geschriebener Artikel, der sagenhafte 39mal...


Folgen Sie uns
       


Patrick Schlegels Visitenkarte spielt Musik und würfelt

Eine Visitenkarte muss nicht immer aus langweiligem Papier sein. Patrick Schlegels Visitenkarte hat einen USB-Speicher, spielt Musik und kann würfeln.

Patrick Schlegels Visitenkarte spielt Musik und würfelt Video aufrufen
DSGVO: Nicht weniger als Staatsversagen
DSGVO
Nicht weniger als Staatsversagen

Unterfinanziert und wirkungslos - so zeigen sich die europäischen Datenschutzbehörden nach zwei Jahren DSGVO gegenüber Konzernen wie Google und Facebook.
Eine Analyse von Christiane Schulzki-Haddouti

  1. Datenschutzverstöße EuGH soll über Verbandsklagerecht entscheiden
  2. DSGVO Proton vergisst Git-Zugang auf Datenschutzwebseite
  3. DSGVO Iren sollen Facebook an EU-Datenschützer abgeben

Onboarding in Coronazeiten: Neu im Job und dann gleich Homeoffice
Onboarding in Coronazeiten
Neu im Job und dann gleich Homeoffice

In der Coronakrise starten neue Mitarbeiter aus der Ferne in ihren Job. Technisch ist das kein Problem, die Kultur kommt virtuell jedoch schwerer an.
Ein Bericht von Manuel Heckel

  1. Onlineshopping Weiterhin mehr Pakete als vor Beginn der Coronapandemie
  2. Corona IFA 2020 findet doch als physisches Event statt
  3. Corona Pariser Polizei darf keine Drohnen zur Überwachung verwenden

Ikea Trådfri im Test: Das preisgünstige Smart-Home-System
Ikea Trådfri im Test
Das preisgünstige Smart-Home-System

Ikea beweist, dass ein gutes Smart-Home-System nicht sündhaft teuer sein muss - und das Grundprinzip gefällt uns besser als bei Philips Hue.
Ein Test von Ingo Pakalski

  1. Ikea Trådfri Fehlerhafte Firmware ändert Schaltverhalten der Lampen
  2. Fyrtur und Kadrilj Ikeas smarte Rollos lernen Homekit
  3. Trådfri Ikeas dimmbares Filament-Leuchtmittel kostet 10 Euro

    •  /