Pour répondre à chacune de vos questions:

1. En gros, comment procéder ou même devrions-nous?

Je recommande de continuer. Vous pourrez acquérir des informations précieuses qui pourront être immédiatement mises à profit pour améliorer la sécurité de votre entreprise. Vous ne nous avez pas dit ce que le chercheur vous a envoyé, mais ils auront soit une description de la vulnérabilité, soit des méthodes pour la reproduire. Pour continuer, vous aurez besoin d'eux:

• Une description / scénario d'attaque de la vulnérabilité trouvée. Pourquoi est-ce un problème, qu'est-ce que le bogue permet spécifiquement à un attaquant de faire ce qu'il ne devrait pas être en mesure de faire, quel est le pire scénario / gravité de la découverte.

• Etapes de reproduction. Quelles étapes pourriez-vous donner à un ingénieur et lui permettre de reproduire le bogue à chaque fois.

• Ce que le hacker recherche en retour. Comme mentionné, il peut s'agir d'une autorisation de publier la conclusion après avoir fixé ou payé de l'argent.

• Vous pouvez également souhaiter ou recevoir des conseils de correction, des scores de risque, etc. de la part du chercheur.

TRÈS IMPORTANT: indiquez clairement au chercheur que vous vous attendez à ce qu'il garde le problème confidentiel jusqu'à ce que le problème soit résolu. Ils peuvent contrer avec une fenêtre de correction, par exemple ils peuvent publier et publier des articles si le problème n'est pas résolu dans les 60 jours. C'est une pratique courante et devrait être acceptable pour la plupart des entreprises ayant une solide posture de sécurité.

2. Quelle est l'attente commune d'un hacker blanc (chapeau)?

Cela dépend du chercheur, mais il voudra probablement l'autorisation de publier le résultat une fois qu'il a été corrigé, ainsi qu'une récompense monétaire. Les prix des récompenses sont basés sur la gravité globale et la taille du programme de primes. Hackerone, une grande plate-forme de primes de bogues, dispose d'une matrice qui suggère des paiements par rapport à la taille de l'entreprise / du programme de primes: https://www.hackerone.com/resources/bug-bounty-basics. Déterminer le prix de paiement est un art subtil - je recommande de rechercher des bogues similaires sur hackerone ou d'autres plates-formes de primes de bogues et de baser votre paiement sur ce que d'autres entreprises paient pour le même problème.

Encore une fois - une attente commune des chercheurs est qu'ils peuvent publier les résultats dans un certain laps de temps, qu'ils aient ou non été corrigés d'ici là. 60 jours est courant, mais je ne serais pas d'accord avec un délai si vous n'êtes pas sûr que votre entreprise peut livrer dans cette fenêtre. Une fois le problème corrigé, le pirate peut vouloir valider que le correctif a été correctement implémenté.

3. Comment valider?

Utilisez les étapes de reproduction que le hacker vous a données. Ils doivent être suffisamment clairs pour que tout ingénieur puisse suivre exactement les étapes et reproduire le bogue. S'il y a des problèmes ici, vous pouvez retourner voir le chercheur et obtenir des éclaircissements. Il est de la responsabilité des chercheurs de fournir à l'entreprise des étapes de reproduction qui décrivent et identifient le bogue.

Une fois le problème résolu, vous pouvez inviter le chercheur à valider le correctif et à vous assurer qu'il a été complètement corrigé.

Hackenproof semble être un site Web auquel tout le monde peut s'inscrire, donc dire que vous êtes membre de Hackproof équivaut à dire que vous êtes membre de Facebook. Ce n'est pas un groupe de hackers exclusif.

Il n'y a pas de méthode standard formalisée pour traiter une telle situation, car votre entreprise, votre entreprise, le bogue et le chapeau blanc vont tous varier considérablement. Une taille unique ne convient pas à tous.

En général, il est conseillé d'être prudent mais curieux. Soyez prudent, mais pas paranoïaque et vindicatif. Ne fournissez aucune information interne au chapeau blanc, essayez d'obtenir autant d'informations que possible à l'avance tout en révélant peu ou rien. Beaucoup de ces personnes aiment parler pour montrer leur propre expertise. Laissez-les faire. Il y a peu de mal qui peut se produire si les informations ne circulent que dans un seul sens. Demandez-lui le code source ou une description détaillée du problème. Ensuite, analysez le code / la description et écrivez votre propre exploit (et ne compilez pas ou n'exécutez pas le code des chapeaux blancs), en l'exécutant sur une instance de test, de préférence aussi isolée que possible de tout autre environnement.

Comme En ce qui concerne les responsabilités de chaque partie, la plupart des gens qui prétendent être des pirates informatiques de nos jours pratiqueront la divulgation responsable et ne publieront pas le bogue dans le monde tant qu'il ne pourra pas être corrigé. Votre responsabilité est de corriger le bogue (s'il est suffisamment grave) dans un délai raisonnable (plusieurs semaines, pas des années). Si votre entreprise propose des primes, elles doivent être payées si le bogue répond aux critères. Sinon, le chapeau blanc devrait accepter qu'ils ne seront probablement pas payés, mais vous devez accepter qu'ils pourraient publier le bogue au grand public s'il n'est pas corrigé dans un délai raisonnable.

Je ne sais pas s'il y a ici des règles strictes. Traitons cela comme de la théorie des jeux:

Ce que le chercheur veut

Habituellement:

• Crédit public pour la découverte, comme un CVE ou un document de recherche.
• Parfois de l'argent sous la forme d'une prime de bogue.

Ce que vous voulez

Habituellement:

• Ne pas être humilié publiquement.
• Pour améliorer la sécurité de votre produit.

Comment procéder

À partir d'une théorie des jeux perspective, la situation gagnant-gagnant est pour eux de vous divulguer les détails, pour vous de le réparer et pour eux d'obtenir leur crédit public. Vous devriez organiser un appel téléphonique avec le chercheur et demander une démo - vous avez beaucoup à gagner et ne perdez rien. Sachez qu'avant de vouloir vous montrer les détails, le chercheur peut souhaiter une NDA ou un autre contrat légal garantissant qu'il obtiendra son crédit à la fin.

Cela vaut peut-être la peine de noter qu'ils sont probablement assez nouveaux dans ce domaine également, il y a beaucoup de «pros» et si c'est comme ça que vous gagnez votre vie, vous avez probablement un processus, mais cela implique normalement un accord avec une entreprise avant de commencer le travail. Mais même dans ce cas, cela varie entre les entreprises et le type de travail.

Cela me semble être un enthousiaste. Je doute vraiment qu'il y ait quelque chose à perdre à parler au gars. Il a peut-être des attentes irréalistes mais qu'est-ce que vous perdez?

Note de côté, désolé si c'est condescendant, mais je pense qu'il faut le dire: c'est au moins concevable que cela soit destiné à être un moyen pour vous d'être ' eu ', "pouvons-nous avoir une discussion rapide sur certains des détails d'implémentation de votre système" est quelque chose à laquelle vous devriez probablement dire "non", même surtout s'ils viennent offrir une carotte.

Pour faire écho à ce que quelqu'un a dit dans un commentaire, il serait juste d'essayer d'exclure une escroquerie ou une extorsion. Voici quelques éléments à prendre en compte.

• Y a-t-il une mention de paiement en réponse pour information - même une sorte de "frais administratifs"? En supposant que vous n'ayez aucune prime de bogue préexistante, un chercheur légitime n'est pas susceptible de demander de l'argent - il veut que le bogue soit corrigé et la possibilité d'obtenir du crédit pour l'avoir trouvé. Demander de l'argent peut être considéré comme une tentative d'extorsion ou au mieux contraire à l'éthique.

• Les étapes pour reproduire sont-elles suffisamment vagues pour ne pas vous aider à les reproduire? Demandez à vos ingénieurs de les étudier tôt pour savoir exactement ce que vous avez et vérifiez qu'il existe une vulnérabilité, même mineure. Sont-ils un peu réticents à donner des détails même si vous suivez les pratiques normales? Si quoi que vous fassiez, la vulnérabilité reste vague et non confirmée, vous n'avez peut-être pas affaire à un rapport légitime.

• Semble-t-il trop désireux de savoir comment votre logiciel fonctionne ou même des informations sur votre entreprise ou votre entreprise?

• Si la personne prétend représenter un groupe, pouvez-vous vérifier qu'elle le fait réellement?

La manière normale de procéder serait de garantir au journaliste que vous vous êtes engagé à corriger le bogue, de donner un délai pour l'envoi du correctif (il se peut qu'il ait déjà spécifié un délai qu'il souhaite, mais si cela semble déraisonnable , négocier) après quoi ils peuvent publier. Ou, voyez si vous pouvez demander une période de grâce par la suite au cas où ils re-testeraient et trouveraient que la vulnérabilité existe toujours sous une forme ou une autre.

Donner de l'argent en récompense est un peu un dilemme éthique, d'une part il est bon de récompenser mais d'autre part si vous n'avez pas de prime de bogue, cela risque d'encourager la pratique de trouver des vulnérabilités et d'attendre des paiements, qui se rapproche du comportement du chapeau noir. Encore une fois, méfiez-vous s'ils ont abordé la question de l'argent en premier, même si vous avez l'intention d'en donner. Mais si vous le faites, ce serait mieux pour tous si vous mettiez en place une sorte de programme formel de primes de bogues.