Original-URL des Artikels: https://www.golem.de/news/security-curl-bekommt-eigenes-bug-bounty-programm-1809-136704.html    Veröffentlicht: 21.09.2018 14:11    Kurz-URL: https://glm.io/136704

Security

Curl bekommt eigenes Bug-Bounty-Programm

Das kleine Kommandozeilenwerkzeug Curl und dessen Bibliothek finden sich in nahezu allen vernetzten Geräten. Sicherheitsforscher erhalten künftig eine Bug-Bounty, also Geld für das Auffinden von Sicherheitslücken in der Software Curl.

Der Projektgründer und Hauptentwickler des kleinen Kommandozeilenwerkzeugs Curl, Daniel Stenberg, zählt in seinem Blog immer wieder gern und auch sichtlich stolz auf, auf wie vielen Milliarden vernetzen Geräte das Werkzeug zum Dateitransfer läuft. Das Projekt wird trotzdem nach wie vor von Stenberg nur als Hobby in seiner Freizeit betrieben. Dank Community-Sponsoren kann das Curl-Projekt nun aber erstmals eigene Bug-Bountys ausloben, also Geld für das Auffinden von Sicherheitslücken.

Wie Stenberg in seinem Blog schreibt, war es auch bisher schon möglich, Bug-Bountys für Curl zu bekommen. Das lief bisher jedoch über die Internet-Bug-Bountys von Hackerone. Das zielt jedoch wenig spezifisch auf Sicherheitslücken, die gefährlich für das Internet sind und meist Projekte betreffen, die nicht von Unternehmen, sondern wie bei Curl von einer kleinen Community betreut werden.

Das ist Stenberg offenbar für das weitverbreitete Curl zu unspezifisch und vor allem auch zu unstrukturiert, da bei dem Programm von Hackerone nicht klar geregelt ist, unter welchen Umständen in Curl gefundene Fehler belohnt werden. Deshalb gibt es für Curl nun ein eigenständiges Bug-Bounty-Programm, das über den Anbieter Bountygraph abgewickelt wird.

Bountygraph ist auch der erste Sponsor der Prämien, die mit 500 US-Dollar noch sehr klein ausfallen. Stenberg hofft, dass sich viele weitere Unternehmen anschließen, die Curl aktiv einsetzen und denen die Sicherheit des Werkzeugs wichtig ist. Ziel ist laut der Ankündigung, mithilfe von vielen unterschiedlichen Sponsoren aus der Community eine Art Bounty-Fonds für Curl zu erstellen, um auch bei schwerwiegenden Sicherheitslücken angemessene Belohnungen ausschütten zu können.  (sg)


Verwandte Artikel:
Open-Source-Werkzeug: Curl bekommt offizielle eigene Windows-Builds   
(29.08.2018, https://glm.io/136247 )
Freie Software: Curl-Entwickler Stenberg darf weiterhin nicht in die USA   
(30.07.2018, https://glm.io/135743 )
Subdomain Takeover: Verwaiste Domains einfach übernehmen   
(24.07.2018, https://glm.io/135513 )
Bug Bounty: Nextcloud zahlt bis zu 5.000 US-Dollar für Fehler   
(17.06.2016, https://glm.io/121591 )
Drohnenhersteller: DJI vergisst TLS-Schlüssel und Firmwarekeys auf Github   
(20.11.2017, https://glm.io/131231 )

© 1997–2020 Golem.de, https://www.golem.de/