Uberのバグバウンティファイトでは誰も見栄えが良くない

画像:AP

今週末、セキュリティコンサルタントは、Uberのソフトウェアの深刻な脆弱性と彼が信じていること、そして会社のバグ報奨金プログラムが彼の研究に対する支払いを拒否したという彼の不信について詳しく説明しました。残念ながら、それは英雄のいない物語です。

研究者のグレゴリー・ペリーは、日曜日のミディアムポスト(「Uberセキュリティバグバウンティから$ 0を支払った方法」)でUberに不満を表明し、合法的に 巻き込まれた配車 会社のソフトウェアで発見した4つの問題を挙げました。これらの中には、ユーザーをページやサービスに安全にログインするために使用されるオープンプロトコルであるOAuthのUberの実装により、一部の認証トークンが期限切れにならないことがわかったことがあります。発見されたバグごとに最低500ドルの支払いが約束されているにもかかわらず、ペリーは、主にUberが報告したバグをすでに認識していると主張したため、Uberから支払いを受けたことはないと主張しています。

「これはUber側のセキュリティが非常に悪いように思えます」と、OAuth 2.0Simplifiedの作成者でプロトコルのコンサルタントであるAaronPareckiはGizmodoに電子メールで語りました。「OAuthでは、トークンのリークに関連するリスクに応じて、必要な期間だけ、アクセストークンの有効期間を非常に短くすることをお勧めします。与えられた例は数分から数時間です。」彼はさらに、これらの問題を処理するための拡張機能が2013年に公開されたとコメントしました。

当然のことながら、不信感のある会社が善意のある研究者を数百ドルで苦しめているという認識は、Twitterやハッカーに優しいフォーラムで大火事を引き起こしました。正確であれば、これはUberがユーザーデータの保護に失敗した最初の例ではなく、最も注目を集めている例でもありません。ハッカーは2016年に5700万人のユーザーの データを公開しましたが、同社は今月初めにしかデータを認めていませんでした。

Uberに不信感を抱くあらゆる理由で、多くセキュリティ研究者がこの事件の会社の対応に立ち向かいましたが、報告されたバグの重要ではない性質、そのようなバグがこれらの報告の前にUberに本当に知られていた可能性、および何よりも、ペリーの拒絶された行動

Uberのセキュリティチームからの開示プラットフォームHackerOneに関するPerryのレポートへの回答は、ペリーが戦闘的であった一方で、OAuthの問題を含め、詳細かつ専門的でした。チームは、レガシーシステムが段階的に廃止された結果であると説明しました(「かわいい。 」彼は、そのようなバグが1つ知られていると言われた後、書いた。)これは、Uberのセキュリティプログラムマネージャーの資格を侵害する攻撃で最高潮に達した。

HackerOneの創設者は、本日Twitterでこの交換についてコメントし、次のように述べています。「このコミュニティは、個人的な嫌がらせを容認しません。ブリリアントジャークは、彼らの才​​能を他の場所に応用するよう招待されています。」

Uberは責任を持ってこの混乱に対処したかもしれませんが、それは一般の人々から深刻な不信を引き起こしている、称賛に値しない 商慣行の遺産を持つ会社のままです。一方、ペリーは単なる園芸品種のジャークです。それでも、ペリーの投稿によって引き起こされた騒動は、バグ報奨金プログラムの有用性を損ないます。これは、危険にさらす企業(および顧客)ではなく、悪意のある当事者に販売されるエクスプロイトの好ましい代替手段です。

提案された投稿

一人の男がネパールの田舎で60,000人にインターネットを利用した方法をご覧ください

一人の男がネパールの田舎で60,000人にインターネットを利用した方法をご覧ください

マハビルパンです。メールをチェックしたいときはいつでも2日間ハイキングしなければならなかったという事実にうんざりして、彼は故郷のナンギをインターネットに接続することに決めました。

新しいNASAの監督者テッドクルスからの科学についての8つの愚かな引用

新しいNASAの監督者テッドクルスからの科学についての8つの愚かな引用

新しい共和党主導の議会は現在、その多くの委員会や小委員会の議長を務める人々を選ぶことに忙しい。何だと思う!ティーパーティーの英雄であるテッド・クルーズ上院議員は、宇宙、科学、競争力に関する小委員会の新しい議長です。

関連記事

接続されたデバイスがどのようにあなたを解雇したり、あなたの信用を台無しにする可能性があるか

接続されたデバイスがどのようにあなたを解雇したり、あなたの信用を台無しにする可能性があるか

おそらく、あなたが今していることは、誰にも知られたくないことでしょう。ドリト​​スを食べてグッドワイフ(理解できる)を見ている間、Fitbitにほこりを集めさせているのかもしれません。

デザインについてもっと書くつもりです

デザインについてもっと書くつもりです

画像:Jim Cooke / GMG Gizmodoでのデザインについては、通常、ガジェットの外観と動作のコンテキストで常に書いてきました。過去15年間で、テクノロジーが世界のほぼすべてを変革している多くの方法を含むように対象範囲を徐々に拡大してきました。また、デザインについてもより広い視野を持って考えることは理にかなっています。

驚くべきことに、ドナルド・トランプの新しいアプリは冗談ではありません

驚くべきことに、ドナルド・トランプの新しいアプリは冗談ではありません

画像:ビル・プリアーノ/ゲッティイメージズドナルド・トランプキャンペーンを取り巻く他のドラマを考えると、オレンジ色の髪の人が新しいアプリをリリースしたことに気づかなかったことは許されるかもしれません。ファンファーレを完全にゼロにするために先週リリースされたこのアプリは、キャンペーンの最初のアプリケーションです。

Twitterが初めて利益を上げた

Twitterが初めて利益を上げた

写真:トランプ大統領と新冷戦の強力な武器を私たちに与えたソーシャルメディアサービスであるゲッティツイッターは、会社の歴史の中で初めて純利益を上げたと発表しました。Twitterの株価は市場前取引で上昇した。

MORE COOL STUFF

ダイアナ妃は、8歳でウィリアム王子を寄宿学校に送るという決定に「涙を流した」

ダイアナ妃は、8歳でウィリアム王子を寄宿学校に送るという決定に「涙を流した」

ウィリアム王子が 8 歳のときに寄宿学校に通わせたことについて、ダイアナ妃がどのように感じたかを学びましょう。

シャキール・オニールは、レイカーズのスターが彼のチキン帝国を北テキサスに拡大するにつれて、ダラスの外に永住権を購入しました

シャキール・オニールは、レイカーズのスターが彼のチキン帝国を北テキサスに拡大するにつれて、ダラスの外に永住権を購入しました

Shaquille O'Neal は最近、Big Chicken レストラン帝国を拡大するため、ダラス郊外に住居を購入しました。

「90 日間の婚約者」: イヴが逮捕され、浮気スキャンダルの後、モハメドに対する家庭内暴力の容疑に直面している — 何が起こったのか?

「90 日間の婚約者」: イヴが逮捕され、浮気スキャンダルの後、モハメドに対する家庭内暴力の容疑に直面している — 何が起こったのか?

「90日の婚約者」シーズン9のスター、イヴ・アレラーノが逮捕され、モハメド・アブデルハメドへの暴行容疑で家庭内暴力の罪に問われている.

ナターシャ・リオンは、ピーウィー・ハーマンは「ビジネスで最高のGIFを送る」と言います

ナターシャ・リオンは、ピーウィー・ハーマンは「ビジネスで最高のGIFを送る」と言います

ナターシャ・リオンは、ピーウィー・ハーマン自身、ポール・ルーベンスと親密です。彼らの友情について彼女が言ったことを発見してください。

Great Suspenderは、ブラウザのタブを一時停止することでメモリを解放します

Great Suspenderは、ブラウザのタブを一時停止することでメモリを解放します

Chrome:仕事のためにタブを長時間開いたままにしておくのはごく普通のことです。固定されたタブが存在するのはそのためです。

良い有名人のように、ブルース・ジェンナーはダイアン・ソイヤーにすべてを伝えます

良い有名人のように、ブルース・ジェンナーはダイアン・ソイヤーにすべてを伝えます

ダイアン・ソイヤーのブルース・ジェンナーとの「広範囲にわたる独占インタビュー」は、スイープウィークにちょうど間に合うように4月24日に放送されます。2時間のインタビューは、ジェンナーの私生活に関する現在の噂と、彼が今年2月に巻き込んだ致命的なマリブの自動車事故をカバーする可能性があります。

この大規模なジャンルのポスターで読むのに最適なフィクションの本を見つけてください

この大規模なジャンルのポスターで読むのに最適なフィクションの本を見つけてください

あなたが良い読み物を探しているなら、このグラフィックはフィクションの主要なジャンルのすべてとそれぞれの最高の本のいくつかをプロットします。ポップチャートラボからのフィクションのジャンルのこの大規模なプロットはすべての古典をカバーしています。

接続されたデバイスがどのようにあなたを解雇したり、あなたの信用を台無しにする可能性があるか

接続されたデバイスがどのようにあなたを解雇したり、あなたの信用を台無しにする可能性があるか

おそらく、あなたが今していることは、誰にも知られたくないことでしょう。ドリト​​スを食べてグッドワイフ(理解できる)を見ている間、Fitbitにほこりを集めさせているのかもしれません。

ケイト・ミドルトンとウィリアム王子は、彼らが子供たちと行っているスパイをテーマにした活動を共有しています

ケイト・ミドルトンとウィリアム王子は、彼らが子供たちと行っているスパイをテーマにした活動を共有しています

ケイト・ミドルトンとウィリアム王子は、子供向けのパズルの本の序文を書き、ジョージ王子、シャーロット王女、ルイ王子と一緒にテキストを読むと述べた.

事故で押しつぶされたスイカは、動物を喜ばせ水分補給するために野生生物保護団体に寄付されました

事故で押しつぶされたスイカは、動物を喜ばせ水分補給するために野生生物保護団体に寄付されました

Yak's Produce は、数十個のつぶれたメロンを野生動物のリハビリ専門家であるレスリー グリーンと彼女のルイジアナ州の救助施設で暮らす 42 匹の動物に寄付しました。

デミ・ロヴァートは、新しいミュージシャンのボーイフレンドと「幸せで健康的な関係」にあります: ソース

デミ・ロヴァートは、新しいミュージシャンのボーイフレンドと「幸せで健康的な関係」にあります: ソース

8 枚目のスタジオ アルバムのリリースに向けて準備を進めているデミ ロヴァートは、「スーパー グレート ガイ」と付き合っている、と情報筋は PEOPLE に確認しています。

Plathville の Kim と Olivia Plath が数年ぶりに言葉を交わすことへようこそ

Plathville の Kim と Olivia Plath が数年ぶりに言葉を交わすことへようこそ

イーサン プラスの誕生日のお祝いは、TLC のウェルカム トゥ プラスビルのシーズン 4 のフィナーレで、戦争中の母親のキム プラスと妻のオリビア プラスを結びつけました。

水門の修理

水門の修理

天王星と海王星の間の領域に向かって宇宙を 3/4 g の低温で航行しながら、私たちは数週間燃え続けていました。Dawson Trawler の科学者が Yggdrasil ポータルと呼んだもの。

美しいもの

美しいもの

女性として、私は通常、関係を築くことをためらっています。私はいつも彼らに負けないように苦労しました。私は誰かと共有したいという衝動と戦わなければなりません。

逃走中の女性からの発信

最も家が必要なときに家のように感じる場所はありません。

逃走中の女性からの発信

私は誰よりも移動しました。父が住んでいた土地には、父が 1 歳馬を折るミニチュアの競馬場がありました。

死にゆく男から学んだ最大の人生の教訓

彼は、私たちが持っているのはこの現在の瞬間だけであることを知るのが遅すぎました。

死にゆく男から学んだ最大の人生の教訓

ブラッドは、カーキ色のショート パンツとポロ シャツを着たまま、白いゴルフ グローブを両手で高く引っ張ったまま、ベッドルームに入ってきました。彼は満面の笑みを浮かべながら、「今年は私の人生で最高の年だったと思います!」と言いました。通常は保守的な消費者である私たちは、通常とは異なることをしました。

Tags

Categories

Top Topics

Language