Google Chrome, Zero Day Initiative, iDefense e venda de falhas de segurança

Poxa que interessante.

Não conhecia isso.

É um ramo de negócios bem novo. A remuneração é boa mesmo por essas falhas?

só uma pergunta… como ficaria o else desse if aqui? “-Caso eu aceito a oferta…” quer dizer que se você não aceita eles não podem concertar o erro?

Então, esse programa do google está pagando 500 dólares, ou 1337 dólares para falhas muito interessantes.

A ZDI, não sei se estou na liberdade de divulgar os valores, mas são mais altos. Pelas apresentação do Pedram Amini, que trabalha no projeto ZDI, os valores vão de 1,000 dólares até 20,000 dólares. Isso parece consistente com minha experiência.

[]s,
Sami

Correto. Se você não aceita, eles não tem o direito de comunicar o problema ao fabricante, etc. Agora, porque é que você rejeitaria? Talvez, pelo valor ser muito baixo, você prefere você mesmo entrar em contato com a empresa responsável, tentar pressionar elas a corrigirem a falha. Talvez você queira tentar vender a falha para outro programa/empresa. Talvez você até queira negociar com o mercado negro. Talvez você queira tentar vender pro governo chines.

Hmm… vender para o mercado negro… devem pagar melhor.

Sim, o mercado negro paga muito melhor. Uma citação interessante do Charlie Miller:

http://www.nytimes.com/aponline/2010/01/29/business/AP-US-TEC-China-Google-Security-Hole.html:

One researcher who has been open about his experience is Charlie Miller, a former National Security Agency analyst who now works in the private sector with Independent Security Evaluators. Miller netted $50,000 from an unspecified U.S. government contractor for a bug he found in a version of the Linux operating system.

Whether to pay – and seek payment – is hotly debated among researchers.

‘‘I basically had to make a choice between doing something that would protect everybody and remodeling my kitchen – as terrible as that is, I made that choice, and it’s hard,’’ Miller said. ‘‘It’s a lot of money for someone to turn down.’’

Pessoalmente, eu vejo o mercado negro como inviavel. Além de motivos éticos, você não teria muita garantia do pagamento, etc. Pessoalmente eu já sinto mal quando vejo pessoas sendo afetadas pelos virus (link p/ AV da Microsoft) que aproveitam a falha que eu comuniquei para a Sun em 2008 e que já foi corrigido no mesmo ano.

Correto. Se você não aceita, eles não tem o direito de comunicar o problema ao fabricante, etc. Agora, porque é que você rejeitaria? Talvez, pelo valor ser muito baixo, você prefere você mesmo entrar em contato com a empresa responsável, tentar pressionar elas a corrigirem a falha. Talvez você queira tentar vender a falha para outro programa/empresa. Talvez você até queira negociar com o mercado negro. Talvez você queira tentar vender pro governo chines.

huahauhauhuhauha

:twisted: e qual a diferença entre o mercado negro e o governo chines??? :twisted:

O mercado negro vai utilizar para roubar pessoas (que é ruim). O governo chines vai utilizar para calar as ativistas de direitos humanos (que talvez seja pior ainda). :evil: