Компания Google сообщила (http://googleonlinesecurity.blogspot.ru/2014/02/security-rew...) об увеличении размера вознаграждений за выполнение работ по повышению безопасности популярного сетевого и системного свободного ПО. Вознаграждения выплачиваются за создание улучшений, препятствующих возникновению проблем с безопасностью в таких проектах, как OpenSSH, BIND, Chromium, ядре Linux, Apache httpd, nginx, Postfix, Exim, OpenVPN, GCC, LLVM и binutils.
Если ранее размер вознаграждения составлял от $500 до $3133.70, то теперь создатель сложного и важного улучшения, обеспечивающего защиту от серьёзных уязвимостей, получит премию в 10 тысяч долларов. При создании средних по сложности патчей, предоставляющих явные улучшения в безопасности - 5 тысяч долларов. За простые патчи и решения гипотетических проблем - от 500 до 1337 долларов.
Одновременно заявлено о расширении программы по поиску уязвимостей в продуктах Google. Под действие инициативы теперь подпадают браузерные дополнения и web-приложения для Chrome, созданные в Google и распространяемые под брендом Google. В зависимости от опасности уязвимости размер премии составит от 500 до 10000 долларов.URL: http://googleonlinesecurity.blogspot.ru/2014/02/security-rew...
Новость: http://www.opennet.me/opennews/art.shtml?num=39012
Количество тестеров должно резко увеличиться, а количество феерических ляпов в СПО должно резко снизиться благодаря корпорации бобра? :-)
Почему бы и нет? Заметь, они платят за результат.
> Почему бы и нет? Заметь, они платят за результат.Отнюдь не против. Тем более как яркий пример "бабло побеждает зло".. :-)
Количество тестеров увеличилось бы если бы платили хотя бы по сотке за правомерно открытый в их недобагзилле баг. Ну и иногда исправляли бы их, для разнообразия и нематериальной мотивации тестеров.
Так, глядишь, и трекйпонтовый скроллинг опять заработал бы, сломанный в aura.
> корпорации бобраОстряк?
>> корпорации бобра
> Остряк?Неприятие линуксятниками корпораций мне зачастую напоминает битву бобра с удавом. Что это такое - к косте рыкову :-)
Размер вознаграждения должен быть сравним с тем, что предлагают на хак-форумах за уязвимости.Интересно какие там расценки, и сколько раз можно продать одну и ту же уязвимость?
Проблема в том, что еще покупашек нужно найти! И понять что не подставные и продать так, чтобы не засветить счета, номера и т.д.. Так что лучше легально зарабатывать на щедрости корпорации добра =)
Цифровая валюта. [К сожалению, ее и так используют.]
0dey сплоит под всевсю линейку ядер , локальный соответственно, либо под часть стабл версий ядре например того же редхат подобных - будет стоить от 100к до 500к$.
Да и продовается такое токо очень близким по знакомству людям, дабы не утекло в пабл или были перепродажи.И даже по такой цене люди будут стоять в очередь за кодом.По этому смысла продовать гуглу баги за 10к не имеет ни какого смысла....
Что-то в Вашей орфографии не позволяет полностью довериться Вашему экспертному мнению о рынке 0day.
Человек привык шифроваться?)
Больше похоже на обычного script-kiddie, понаслушавшегося сказок
> Да и продовается такое токо очень близким по знакомству людям- Иваа-аныч, мне бы тут это.. под всю линейку!
- ДВА ЛИМОНА!
- Эээ..ии..э..
- и сникерс!!
Идея дерзкая, но здравая: обнаруживший уязвимость, кратко описывает её, указывает цену и предлагает купить разработчику уязвимого ПО в течении месяца. Если разработчик не совершает сделку - легально продаёт тому, кто пожелает за неё заплатить.Не исключаю, что разработчик платить не желает, но владелец бизнеса, которому осточертели хакеры, купит и подарит её разработчикам.
В итоге все рады: все известные баги чётко структурированы, есть биржа багов и цены регулируются спросом и предложением
Ну так оно ровно так происходит, только без всякой биржи.
Обнаруживший уязвимость знает за сколько её можно продать на черном рынке (информация официально не публикуется, но практически все, кто уязвимость способен найти, в курсе) и за сколько разработчику (те разработчики, кто вообще что-то готов заплатить, а их очень немного, об этом и так официально объявляют).
И цены таки регулируются спросом и предложением, всё в порядке.
Спасибо Корпорации Добра, что выставляет на конкурс не только своё ПО, но и поддерживает ключевые компоненты OpenSource.