Remunerar programadores, ou usuários leigos, que consigam comprovar uma falha nativa em softwares, é uma prática comum na indústria. E algumas companhias como a Microsoft, possuem programas de recompensas para os “caçadores de bugs”. A gigante de Redmond já faz isso com o Windows e agora lança uma tabela para as vulnerabilidades encontradas na rede e nos serviços da Xbox Live.
Uma brecha que permita a execução de códigos remotos, que é considerado o problema mais grave, pode dar até US$ 20 mil para quem encontrá-la. Já algo que resulte em adulteração varia entre US$ 1 mil e US$ 5 mil. O valor mais baixo que a Microsoft paga é para questões envolvendo negação de serviço, que fica entre US$ 500 e US$ 1 mil.
É preciso enviar uma prova bem convincente
Segundo Chloé Brown, gerente de programas do Centro de Resposta de Segurança da Microsoft, os envios elegíveis de possíveis falhas devem incluir "uma prova de conceito clara e concisa". Isso é necessário para demonstrar o impacto do bug e permitir que a equipe do Xbox reproduza a vulnerabilidade antes de corrigir o problema relatado.
A Microsoft proíbe e desqualifica automaticamente caçadores de bugs que tentem phishing ou engenharias sociais, além de usuários e engenheiros do Xbox que se aproveitem da vulnerabilidade para acessar ou baixar dados de usuários. Para saber mais detalhes sobre todas as regras, é só acessar o site Xbox Bounty Program.
O programa do Xbox agora entra na lista de outros semelhantes, que cobrem o Windows, o pacote Office, os navegadores Internet Explorer e Microsoft Edge, os serviços em nuvem, a tecnologia de virtualização Hyper-V e o software aberto de votação ElectionGuard.
Fonte: Canaltech; ZDNet.
