DJI hotar säkerhetsforskare efter nyfunnen bugg. Buggjägarprogrammet verkar gå sådär.

Teknik

Motor

Samhälle

Spel

Popkultur

Fritid

Tjock

Tester

Dagens fråga

Tipsa!

Skaffa Feber+

Hetaste

Senaste

DJI hotar säkerhetsforskare efter nyfunnen bugg

Buggjägarprogrammet verkar gå sådär

I augusti drog DJI igång ett buggjägarprogram där medverkande kunde få utbetalningar på mellan 100 och 30 000 dollar beroende på hur allvarliga buggar jägarna hittade. Kevin Finisterre medverkade i programmet och hittade en rätt jobbig bugg, eller mer ett rätt massivt klavertramp för DJI. Kevin och hans kollegor upptäckte att de kunde komma åt en stor mängd kundinformation från DJI:s servrar tack vare att DJI:s privata nyckel till deras SSL-certifikat hade läckt på Gihtub.

För detta ville DJI ge Kevin och hans kollegor 30 000 dollar, men för att få pengarna var Kevin tvungen att skriva på papper om att aldrig prata buggen i fråga. Kevin försökte förhandla med DJI, men DJI höll fast på sitt beslut. I samband med förhandlingarna skickade DJI ett brev till Kevin som refererade till Computer Fraud and Abuse-lagen, vilket Kevin tog som ett mindre hot och beslutade att slopa samarbetet med DJI och publicera sina fynd offentligt.

Jonathan Cran, produktchef på buggjägarplattformen Bugcrowd, menar att DJI:s beteende bör ses över ordentligt så att framtida buggjägare inte behöver hamna i samma situation:
We would recommend DJI fix the issues as soon as possible and not pursue legal action. Based on the information we have today, this appears to be a misunderstanding and not malicious in its intent. Bug bounties deliver extremely high quality results at unparalleled cost — but as we emphasize to our customers, you need a partner.

DJI har i samband med detta levererat ett officiellt uttalande:
DJI asks researchers to follow standard terms for bug bounty programs, which are designed to protect confidential data and allow time for analysis and resolution of a vulnerability before it is publicly disclosed. The hacker in question refused to agree to these terms, despite DJI's continued attempts to negotiate with him, and threatened DJI if his terms were not met.

Hela Kevin Finisterres rapport hittar ni via länken här nere till vänster.

regmedia.co.uk

Pryl, Drönare,

dji, bug bounty, säkerhet

Via theverge.com

37.8°