Microsoft: Nema nagrade za lovce na bagove

Vesti, 26.07.2010, 01:01 AM

Microsoft ne namerava da sledi poteze kompanija Mozilla i Google i isplaćuje novčane nagrade onima koji otkriju bagove u Microsoft-ovim prozvodima.

Najpre su iz kompanije Mozilla prošle nedelje objavili da povećavaju iznos novčane nagrade za lovce na bagove na 3000 dolara, a četiri dana kasnije je i Google povećao svoju nagradu za otkrivene bagove u svojim proizvodima na 3133,7 dolara. Ovo je verovatno podstaklo glasine da će i Microsoft uskoro krenuti ovim putem i početi da nagrađuje istraživače bezbednosti svojih proizvoda. Međutim, u četvrtak su iz Microsofta demantovali ova nagađanja, izrazivši stav kompanije da plaćanje za otkrivenu ranjvost istraživačima bezbednosti nije najbolji pristup. Oni smatraju da motivi istraživača nisu uvek i isključivo finansijski.

“Poznato je da mi odajemo priznanje doprinosu istraživača u našim izveštajima kada istraživač koordinirano objavljivanjem zakrpe objavljuje detalje ranjivosti koju je otkrio,” kaže Jerry Bryantu svom email-u. “Mi ne nagrađujemo za otkrivene ranjivosti, kao drugi, ali prepoznajemo i odajemo priznanje talentu. Mi smo nekolicinu uticajnih ljudi iz istraživačke zajednice zaposlili u Microsoft-ovom timu za bezbednost. Takođe, imamo direktne ugovore sa mnogim proizvođačima i pojedincima koji se bave istraživanjem bezbednosti proizvoda o testiranju naših proizvoda na ranjvosti pre nego oni budu objavljeni. Mnogi od ovih proizvođača i pojedinaca su privukli našu pažnju upravo zbog svog pristupa kojeg su pokazali prijavljujući ranjivosti našem timu za bezbednost.”

Neki istraživači bezbednosti proizvoda pozvali su velike proizvođače softvera kao što su Microsoft, Adobe, Apple i drugi da plaćaju za otkrivanje bagova u svojim proizvodima, ali do sada nijedna od ovih kompanija ne pokazuje znake da je voljna da to učini. Kupci ranjivosti kao što je TippingPoint's Zero Day Initiative i iDefense Labs isplaćuju različite sume novca za ranjivosti u zavisnosti od “težine” baga. Takođe, određeni broj bagova se proda vladinim agencijama, vojnim preduzimačima i drugim kupcima u okviru privatnih prodaja.

Zbog svega ovoga, neki nezavisni istraživači bezbednosti softvera ohrabruju svoje kolege da obustave prijavljivanje bagova proizvođačima koji za to ne plaćaju. Godinama unazad oni su to činili besplatno za račun proizvođača softvera, iako je to posao koji zahteva mnogo uloženog vremena i rada.

Izvor