News Yahoo! zahlt bis zu 15.000 US-Dollar pro Sicherheitslücke

[przszy]

Yahoo! hat den Angaben von Ramses Martinez zufolge, seines Zeichens Direktor der Sicherheitsabteilung des Internetkonzerns, das unternehmenseigene Meldeprogramm für Sicherheitslücken überarbeitet. Zukünftig sollen 150 bis 15.000 Dollar pro Schwachstelle gezahlt werden – je nachdem, wie neu und gefährlich das Problem ist.

Zur News: Yahoo! zahlt bis zu 15.000 US-Dollar pro Sicherheitslücke

 

[Benni22]

Find ich gut, dass es auch rückwirkend angewandt wird.

 

[Scardust]

Gut so, für mich eine win win Situation. Die Firmen sparen bares Geld indem sie nicht nach einem Gau enorme Schadensbegrenzung unternehmen müssen und gleichzeitig werden die Daten bzw. die Nutzer selbst geschützt.

 

[Smagjus]

Hatte die Sache mit dem T-Shirt gelesen. Schade, dass man nicht weiß, wieviel jetzt tatsächlich in diesem Fall gezahlt wurde.

 

[Bogeyman]

Dennoch steht es den Konzernen immer noch frei zu sagen "ne die Lücke ist nicht neu ist uns schon längst bekannt" und kann sich so um eine Zahlung drücken ohne dass man als "ehrlicher Finder" etwas dagegen machen kann. Auch wird man auf dem Schwarzmarkt sicherlich deutlich mehr Geld bekommen.

In meinen Augen müsste es ne Art Treuhändler oder unabhängige Meldestelle dafür geben sodass mehr Transparenz für die Finder von Sicherheitslücken herrscht.

Man hat hier als "Finder" eben rein gar nix in der Hand.

 

[QXARE]

Dennoch steht es den Konzernen immer noch frei zu sagen "ne die Lücke ist nicht neu ist uns schon längst bekannt" und kann sich so um eine Zahlung drücken ohne dass man als "ehrlicher Finder" etwas dagegen machen kann. Auch wird man auf dem Schwarzmarkt sicherlich deutlich mehr Geld bekommen.

In meinen Augen müsste es ne Art Treuhändler oder unabhängige Meldestelle dafür geben sodass mehr Transparenz für die Finder von Sicherheitslücken herrscht.

Man hat hier als "Finder" eben rein gar nix in der Hand.

Wie oft würde sich ein Konzern eine solche "Lüge" leisten können? So etwas könnte sich ganz schnell sehr negativ für diesen auswirken.

Ich glaube schon, dass wenn man solche Beträge offeriert, auch wirklich dahinter steht. Was sind 15.000 $ für eine geschlossene Sicherheitslücke, wenn doch die Ausnutzung dieser Lücke und der daraus entstehende Schaden in 6-stellige+ Beträge gehen könnte.

 

[DK3008]

Nette Geste. Ich wusste nicht, dass die großen Unternehmen Geld für das Auffinden von Sicherheitslücken zahlen.

@Bogeyman
Naja, so eine "Belohnung" ist natürlich freiwillig. Solange nicht wer fest beauftrag wird - also vertraglich - Lücken zu finden, gibt es auch keinen Anspruch auf Geld. Die Unternehmen müssen selbstverständlich nichts zahlen, wenn einer freiwillig nach Lücken sucht oder nur per Zufall darauf stößt - selbst bei äußerst kritischen Lücken.

 

[Bogeyman]

Wie oft würde sich ein Konzern eine solche "Lüge" leisten können?

Die Frage ist doch viel eher ob es überhaupt auffallen würde. Solange da kein Insider auspackt haben die nicht viel zu befürchten. Mich würde daher mal interesieren welchen Beträge wirklich fließen real für welche Lücken. Das "bis zu" ist doch erstmal nur Marketing. Denke dass tatsächlich deutlich weniger gezahlt wird.

 

[PropHunt]

Da kriegt man auf dem Schwarzmarkt DEUTLICH mehr.

 

[Kimble]

Besser Yahoo selbst, als die N-S-A.

Wobei die N-S-A bestimmt davon weiß, weil sie Yahoo unterwandert hat.

Insofern kann sich sogar die N-S-A das Geld sparen. Praktisch.

 

[yxcv]

Da kriegt man auf dem Schwarzmarkt DEUTLICH mehr.

Stimmt, angeblich soll es als Sonderbonus sogar All-Inklusive-Reisen geben, die Unterkünfte mit schwedischem Garnierenausblick enthalten.

 

[Allo]

Bei den zwei Wörtchen "bis zu" denke ich immer an meine DSL Leitung. Jemand der eine schwerwiegende Sicherheitslücke entdecken kann wird darauf nicht hereinfallen.

 

[freacore]

Welche Software ist gemeint?

 

[PropHunt]

Stimmt, angeblich soll es als Sonderbonus sogar All-Inklusive-Reisen geben, die Unterkünfte mit schwedischem Garnierenausblick enthalten.

Öhm, das Metier, das die ganzen Sicherheitslücken sucht und tatsächlich auch finden kann, gehört nicht zum freundlichen Samariter-Volk, dass sich nicht traut ein Kaugummi auf die Wiese zu werfen. Die haben dementsprechend auch neben Fachkenntnis Mittel und Wege beim Verkauf nicht erwischt zu werden. Der ganze Bereich dieses Marktes zielt ja gerade darauf.
Kannst mir auch nicht sagen, dass absolut niemand Warez lädt, und wenn, sofort gepackt wird.

 

[WC_Ente]

Nette Geste. Ich wusste nicht, dass die großen Unternehmen Geld für das Auffinden von Sicherheitslücken zahlen.
.

bei den meisten wirst du wenn möglich verklagt,
und ab mit dir: gehe nicht über los ziehe kein Geld ein für die nächsten 2,3,4,5 jahre

 

[Soulfly999]

Besser Yahoo selbst, als die N-S-A.

Wobei die N-S-A bestimmt davon weiß, weil sie Yahoo unterwandert hat.

Insofern kann sich sogar die N-S-A das Geld sparen. Praktisch.

Eröffnen sich ja für die NSA ganz neue Geldquellen.

Generell ist die Idee doch garnicht schlecht. Schlechter als Vorher kann es auch nicht werden und vielleicht gibt es ja auch viele ehrliche Hacker, die nur auf die Lücken aufmerksam machen wollen. Eine kleine Entlohnung ist dann doch ganz nett.

 

[WC_Ente]

Da kriegt man auf dem Schwarzmarkt DEUTLICH mehr.

toll,
ich bekomm für eine glock auf legalen weg nur 190euro,
auf ilegalen weg 350euro

 

[Bogeyman]

Naja ist bei Sicherheitslücken halt genau andersherum. Aber ich erkenne hier noch keinen positiven Thrend. Auf der einen Seite unterhält man nen dicken Vorstand auf der anderen Seite ist man dann aber mit der Kohle geizig wenns um wirklich wichtige Sachen geht.

Und mal ganz im ernst: Wenn ich ne Sicherheitslücke entdecke lasse ich mich doch eher auf den ein der mir den besseren Deal/Konditionen bietet.

Bei Yahoo und MS heißt es dann: Zeig uns erstmal was du hast und dann schauen wir weiter.

 

[gerzerk]

Dann solln se mich mal einstellen... ich sorge schon für die Lücke.

 

[PropHunt]

toll,
ich bekomm für eine glock auf legalen weg nur 190euro,
auf ilegalen weg 350euro

Protip: Lesen UND Denken:

Öhm, das Metier, das die ganzen Sicherheitslücken sucht und tatsächlich auch finden kann, gehört nicht zum freundlichen Samariter-Volk, dass sich nicht traut ein Kaugummi auf die Wiese zu werfen. Die haben dementsprechend auch neben Fachkenntnis Mittel und Wege beim Verkauf nicht erwischt zu werden. Der ganze Bereich dieses Marktes zielt ja gerade darauf.
Kannst mir auch nicht sagen, dass absolut niemand Warez lädt, und wenn, sofort gepackt wird.

BTW "ilegalen"? Was ist das?