Bug bounty-platform HackerOne kondigt gratis dienst voor opensourceprojecten aan

Het voor een deel Nederlandse bug bounty-platform HackerOne heeft aangekondigd dat het zijn betaalde diensten gratis aanbiedt voor opensourceprojecten. Zo moet bijvoorbeeld het melden van kwetsbaarheden vergemakkelijkt worden.

De nieuwe variant van zijn dienst draagt de naam 'HackerOne Community Edition'. Daaronder valt het bijvoorbeeld insturen en de coördinatie van softwarelekken, naast het uitkeren van een beloning via het platform. Dit moet bijdragen aan de veiligheid van opensourceprojecten, aldus het bedrijf. Alleen dedicated support maakt geen deel uit van het programma.

Om in aanmerking te komen, moet een project onder een van de osi-licenties opereren. Bovendien moet het ouder zijn dan drie maanden en beschikken over een beschrijving hoe onderzoekers melding kunnen maken van een kwetsbaarheid. Daarnaast moeten deelnemende projecten beloven om binnen een week op binnenkomende meldingen te reageren. Als een project ervoor kiest om een bepaald bedrag uit te keren als beloning, dan gaat daarvan 20 procent naar HackerOne.

Het platform is in 2012 opgericht en kondigde in 2013 zijn bug bounty-programma aan. Onder de oprichters zijn Michiel Prins, Jobert Abma en Merijn Terheggen, naast Facebook-securityhoofd Alex Rice.

Reacties (4)

[letatcest]

Ze haalden overigens ook nog 40 miljoen op 8 februari:

"It brings the total investment to $74 million. Interestingly, CEO Mårten Mickos says the company really didn’t need the money, but there was significant investor interest and they decided to take the money, rather than wait until there was a specific need."

Zie https://techcrunch.com/20...unty-programs-mainstream/

[Superstoned]

Verstandig. Investeerders zetten een bedrijf graag onder druk als dat om geld verlegen zit. Je kunt nu als directie simpelweg betere beslissingen nemen, met een langere termijn visie - ipv je aan te moeten trekken van de maximale 5 jaar exit periode van veel durf investeerders.

[Superstoned]

Wij werken nauw samen met hackerOne, erg goede ervaringen mee. Ten eerste omdat het simpelweg werkt: je krijgt erg veel reports met vrij goede kwaliteit. Ja er zit ook troep bij, false positives en dingen die niet binnen je threat model vallen en het is wat werk om dit af te handelen maar totaal de moeite waard. Er zitten echt top mensen tussen die naar je code kijken.

Een extra voordeel (en nadeel) is dat je gehele infrastructuur wordt aangevallen, hoe zeer je ook duidelijk maakt dat dat out of scope is... dus proberen de hackers onze fora (discourse) te breken of onze wordpress website. Tja er valt maximaal 5000 dollar te verdienen als je een serieuze bug vindt in Nextcloud dus niet nadenken maar alles aanvallen ;-)

Het trekt een wissel op je sysadmin team maar je weet al snel waar de zwakke plekken zitten. De two-factor authentication op onze hele infra is wat irritant maar duidelijk nodig. Ik kan het aanraden - als je echt om security geeft is hackerOne super. En ja, ik kan je aanraden om, als je een keuze hebt, te kiezen voor een bedrijf of project met security bug bounties over projecten zonder. En hoger is natuurlijk beter al moet het wel passen bij de grootte van het doel.

[Reactie gewijzigd door Superstoned op 26 juli 2024 10:43]

[Dylan_R]

He denk je wat te vinden waarmee je wat kan verdienen is de website down
Ondanks wel een slim idee ik had er zelf nog niet van gehoord.