Idefense покупает дыры в Windows по ценам значительно выше черного рынка

Компания iDefense, занимающаяся исследованиям в области компьютерной безопасности предложила вознаграждение в $10 000 тому, кто найдёт неизвестную доселе критическую уязвимость в Windows. Состязание между хакерскими талантами продлится до 31 марта 2006 года, а количество призов неограниченно. Важно лишь, чтобы уязвимость, представленная на рассмотрение, действительно была критической. Критерием подобного статуса является определение самой Microsoft – критической является та уязвимость, которую может использовать червь для своего распространения без участия  пользователя.

Практика стимулирования поисков уязвимостей путём назначения за их "поимку" крупной награды у iDefense существует уже давно. Каждый квартал сменяется тема или объект поисков, и в фокусе оказывается новый программный продукт или класс уязвимостей. Но информации о найденных проблемах вне зависимости от текущей темы iDefense рада всегда, и обнаруживший её человек не остаётся без награды. Размер её зависит от степени серьёзности найденной уязвимости и популярности программы, в которой она обнаружена, и составляют от нескольких сотен до тысяч долларов. Между прочим, в страны СНГ награда также дойдёт, причём переводом WesternUnion или обычным банковским чеком.

Самое забавное в ситуации с наградой, что она может быть действительно выше, чем стоимость уязвимости на чёрном рынке. В частности, сообщает Washigton Post, группа российских хакеров продала знаменитую уязвимость WMF всего за $4000, хотя могла заработать честным путём $10 000…  Впрочем, обычно ситуация прямо противоположная: опытный хакер, обнаруживший уязвимость, может продать её на чёрном рынке группам, занимающимся фишингом и даже секретным правительственным организациям, заработав при этом намного больше, чем $10 000.

По неофициальной информации сама Microsoft никогда не платила и не планирует платить сторонним лицам или организациям за найденные уязвимости. Впрочем, это не мешало ей назначить в своё время награду в $250 000 за голову вирусописателя. A вот Mozilla, напротив, не чурается подобной практики и предлагает за найденную в своих продуктах уязвимость $500, сообщает techlab.