Microsoft start Xbox-bugbountyprogramma met beloningen tot 20.000 dollar

Microsoft is een bugbountyprogramma gestart om ontdekkers van kwetsbaarheden in het Xbox Live-netwerk en andere Xbox-diensten te belonen. Meldingen die aan de voorwaarden voldoen, leveren tot maximaal 20.000 dollar op.

Het maximale bedrag wordt uitgekeerd voor het vinden van een kwetsbaarheid die remote code execution mogelijk maakt. Vinders moeten daarbij een proof of concept kunnen laten zien en het probleem duidelijk documenteren. Een overzicht van alle beloningen en vereisten staat op Microsofts bugbountysite.

De beloning van 20.000 dollar is gelijk aan het maximale bedrag dat Microsoft uitkeert voort het vinden van ernstige beveiligingslekken in Office en andere applicaties. Microsoft heeft diverse andere bugbountyprogramma's die al langer lopen en meer op kunnen leveren. Het vinden van een ernstige kwetsbaarheid in Azure levert tot 300.000 dollar op.

Sony heeft een geen specifiek bugbountyprogramma voor zijn consoles, maar is wel aangesloten bij HackerOne. Onderzoekers kunnen daar kwetsbaarheden in producten en sites van het bedrijf melden, maar krijgen daar geen geld voor. Sony beloont onderzoekers met een '+1' op hun profiel en met een t-shirt. Ook Nintendo is op HackerOne aanwezig. Het Japanse bedrijf vraagt daar specifiek om meldingen over kwetsbaarheden in zijn Switch- en 3DS-consoles en looft tot 20.000 dollar uit.

Reacties (18)

[com2,1ghz]

Die 20k is nogal karig. Denk dat ze dat bedrag wel mogen drievoudigen om het een beetje interessant te houden.
Weet je wat het wel niet kost om een externe partij hiervoor in te huren? Dan mag je er nog een nul achter zetten per jaar. En dan heb nog nog geen garantie dat er daadwerkelijk wat gevonden wordt. Nu keren ze blijkbaar maximaal 20k uit als er ook echt wat gevonden wordt. Een soort no cure no pay aan hun kant.

[Jeroen73]

Dit zijn bedragen die interessant zijn voor wie met wat rondneuzen toevallig wat tegenkomt, niet voor de professionele bugzoeker die alles uitpluist. Wellicht volgt een hogere premie als de meest voor de hand liggende fouten eruit zijn.

[Luchtbakker]

Dit zijn bedragen die interessant zijn voor wie met wat rondneuzen toevallig wat tegenkomt, niet voor de professionele bugzoeker die alles uitpluist. Wellicht volgt een hogere premie als de meest voor de hand liggende fouten eruit zijn.

Wie bedoel je hier dan mee? Voor beginnende hackers die op hun zolderkamer toch niks te doen hebben is dit een prachtige manier van goed geld verdienen. 20k (in het meest positieve geval) is een best hoog bedrag. Ik geloof best dat genoeg hackers zijn die daarvoor in aanmerking komen met hun ontdekkingen. Het is een snelle manier van legaal geld verdienen.

Ik moet toch echt een half jaartje werken voor die 20k hoor....

[Jeroen73]

Dat is dus inderdaad precies wat ik bedoel: het heeft nu geen zin (en kost Microsoft teveel) om nog hogere bedragen te gaan betalen wanneer er al voldoende bugs tevoorschijn zullen gaan komen met de huidige bedragen door de eerste lichting met zolderkamerhackers in de avonduren

[.oisyn]

Weet je wat het wel niet kost om een externe partij hiervoor in te huren

Dat is compleet irrelevant, want dat doen ze namelijk niet, en dergelijke mensen gaan niet zelf op zoek naar bugs. Waar dit bedrag mee moet kunnen competen is wat een dergelijke kwetsbaarheid oplevert op de zwarte markt. En dat is voor consoles natuurlijk een stuk lager omdat dat een voor aanvallers stuk minder interessant platform is.

[Reactie gewijzigd door .oisyn op 23 juli 2024 03:08]

[harrytasker]

Ze kunnen je ook gewoon een t-shirt geven....

[Reactie gewijzigd door harrytasker op 23 juli 2024 03:08]

[SinergyX]

In 2014 hebben ze al aangegeven diverse externe partijen te laten zoeken naar bugs, daar wordt altijd al flink wat geld voor neergelegd, dit is een bonus voor iemand die toch al actief zoekt binnen Windows/Azure/MS, waar iets bv in Windows niet zou werken, maar mogelijk wel op de Xbox.

De core van Xbox blijft gewoon Windows 10, daarvanuit halen ze 90% van hun 'problemen' waar wel iets meer al voor te krijgen is, straks komt Azure nog wat actief op gang en die heeft z'n eigen hunt programma.

[Ootje70]

Bug- of kwetsbaarheden hunting? Niet elke bug is een kwetsbaarheid en andersom. Ik wil wel bugs tegen betaling doorgeven die voorkomen in het OS van de XBOX: easy money,

[Reactie gewijzigd door Ootje70 op 23 juli 2024 03:08]

[WesleyB]

Ze geven zelf de volgende soorten kwetsbaarheden aan:

Remote Code Execution

• Elevation of Privilege
• Security Feature Bypass
• Information Disclosure
• Spoofing
• Tampering
• Denial of Service

Als voorbeeld geven ze:

• Cross site scripting (XSS)
• Cross site request forgery (CSRF)
• Insecure direct object references
• Insecure deserialization
• Injection vulnerabilities
• Server-side code execution
• Significant security misconfiguration (when not caused by user)
• Using a component with known vulnerabilities (when demonstrated with a working proof of concept)

[418O2]

Als je hun site zou bekijken dan zou je dit kunnen lezen

[BounceMeister]

Precies wat ik dacht na het lezen van de titel! Er zijn nogal wat dingen die vaak niet werken, daar kan je dan snel (een beetje) rijk mee worden. Maar het blijkt alleen om security-problemen te gaan zoals WesleyB zegt.

[Ootje70]

Dat kan maar ik reageer op dit bericht op Tweakers :-) En daar gaat het over bugs terwijl het volgens mij over kwetsbaarheden gaat die óók het risico/gevolg van een bug kunnen zijn.

[Reactie gewijzigd door Ootje70 op 23 juli 2024 03:08]

[Xtuv]

Het gaat niet over bugs, maar over een bugbountyprogramma. Dat is nu eenmaal de naam die gegeven wordt aan dergelijke initiatieven om het melden van kwetsbaarheden te belonen. Zie ook Microsofts uitleg:

The goal of the bug bounty program is to uncover significant vulnerabilities that have a direct and demonstrable impact on the security of Microsoft’s customers.

[Horatius]

Er staat een link naar de vereisten van Microsoft en ook een paar voorbeelden daaruit kan je wel afleiden dat het geen simpele user bugs zijn.

Als je dan ook nog even op zoekt wat een bug bounty program is staat er dat het meestal om veiligheids gerelateerde bugs gaat.

Oftewel, gebruik je verstand.

[.oisyn]

En daar gaat het over bugs

Gek, de woorden "bug" of "bugs" komen in het hele artikel niet voor, behalve als onderdeel van "bugbountyprogramma", wat een specifieke betekenis heeft. Je geeft er dus vooral je eigen draai aan nu

[Reactie gewijzigd door .oisyn op 23 juli 2024 03:08]

[Ootje70]

Wat serieus allemaal, was een grappig bedoelde opmerking. Maar de -1's vliegen om mijn oren. Klopt dat ik er mijn draai aan gaf, vond het gewoon grappig dat het bugbountyprogram heet en niet vulnerability bountyprogram. En dat ik genoeg 'bugs' (user-bugs) kan melden... ik ben ook gewoon een gebruiker en geen ontwikkelaar of bug bountyhunter.

[SinergyX]

In 4 jaar tijd zijn er zover ik kan herinneren maar 4 bugs van zo'n niveau geweest, wat allemaal in insider/alpha ring was.