Sicherheitsdienstleister belohnt Entdecker von Security-Lecks

Der dänische Sicherheitsforscher wandelt auf den Spuren von Microsoft, Mozilla und Google und belohnt Entdecker von Lecks mit Prämien – diesmal allerdings Hersteller-unabhängig.

Am heutigen 02.11.2011 gab Secunia den Start seines neuen Sicherheits-Programms bekannt. Wer die Aufdeckung von Software-Lecks bestätige und Secunia beauftage, die Koordination mit dem Hersteller durchzuführen, werde dafür honoriert.

Das »Secunia Vulnerability Coordination Reward Programme« (SVCRP) soll Sicherheitsforschern helfen, sich auf die spannenden Aspekte der Schwachstellenforschung zu konzentrieren – und vermutlich Secunia, sich als unabhängige Experte bei den Softwareherstellern ins Spiel zu bringen.

Das SVCRP sei als Ergänzung zu den Hersteller-spezifischen Preisen vorgesehen. Secunia kann auf diese Weise viele Experten für sich gewinnen und den Wert der nicht immer einfachen Koordination mit dem Hersteller herausheben. Dies habe auch Vorteile für den Produzenten der unsicheren Software, denn er könnte sich auf eine »schnellere Untersuchung und gründliche Behebung von Softwareproblemen« konzentrieren.

Secunia nennt folgende Anford4rungen für eine Teilnahme am Programm:
•    die Sicherheitslücke befindet sich innerhalb einer stabilen Version der Anwendung
•    die Sicherheitslücke befindet sich innerhalb der aktuellen Version der Anwendung
•    die Anwendung wird vom Hersteller weiterhin unterstützt
•    die Sicherheitslücke ist der Öffentlichkeit noch nicht bekannt
•    Secunia kann die gemeldete Sicherheitslücke bestätigen

Preise gebe es erst, wenn Secunia die Lücken veröffentlicht und zuvor mit den Herstellern koordiniert habe. Die Preise, die das Sicherheitsunternehmen auslobt, mögen nicht den Erwartungen entsprechen, wie sie in Geld ausgezahlte Security-Preise der Hersteller erwecken: Secunia redet von hochwertigen Merchandise-Artikeln oder von Preisen wie den Besuch einer IT-Sicherheitskonferenz nach Wahl (inklusive Übernachtung und Konferenzpreis).