Open Bug Bounty. Ne sapete qualcosa?

[Dieguito]

Qualcuno ci ha avuto a che fare?
A me sembra una piattaforma perfetta per hacker che vogliano orchestrare ricatti. L'hacker trova una vulnerabilità su un sito web (il mio in questo caso, sig!) e la sottopone alla piattaforma. La piattaforma verifica che la vulnerabilità esista davvero e se esiste contatta l'amministratore del sito (sempre io, sempre sig!). Dopodiché mette in contatto le due parti per trovare una soluzione al problema e da quel momento in poi se ne lava le mani. Parallelamente fornisce all'amministratore del sito alcune informazioni (per me incomprensibili, sig!) su come tappare la falla e gli comunica freddamente che dopo novanta giorni l'hacker sarà libero di diffondere urbi et orbi i dettagli della vulnerabilità.
Sono preoccupato. 

PS
ovviamente l'hacker non viene chiamato hacker, ma "Security Researcher". 

[Addavenibaffone]

Qualcuno ci ha avuto a che fare?
A me sembra una piattaforma perfetta per hacker che vogliano orchestrare ricatti. L'hacker trova una vulnerabilità su un sito web (il mio in questo caso, sig!) e la sottopone alla piattaforma. La piattaforma verifica che la vulnerabilità esista davvero e se esiste contatta l'amministratore del sito (sempre io, sempre sig!). Dopodiché mette in contatto le due parti per trovare una soluzione al problema e da quel momento in poi se ne lava le mani. Parallelamente fornisce all'amministratore del sito alcune informazioni (per me incomprensibili, sig!) su come tappare la falla e gli comunica freddamente che dopo novanta giorni l'hacker sarà libero di diffondere urbi et orbi i dettagli della vulnerabilità.
Sono preoccupato. 

PS
ovviamente l'hacker non viene chiamato hacker, ma "Security Researcher". 

Ma ti hanno chiesto soldi ?

# il papponista è  la più bassa forma di vita dell'universo #

[Dieguito]

Ma ti hanno chiesto soldi ?

# il papponista è  la più bassa forma di vita dell'universo #

Per il momento no, loro non possono farlo, ma immagino che il "Security Researcher" me li chiederebbe come compenso per la sua consulenza se decidessi di contattarlo.

"DISCLAIMER: As a non-profit project, Open Bug Bounty never acts as an intermediary between website owners and security researchers. Our role is strictly limited to independent verification of the reports and proper notification of website owners by all available means".


"A security researcher can delete the report before public disclosure, afterwards the report cannot be deleted or modified anymore. The researcher can also postpone public disclosure date as long as reasonably required to remediate the vulnerability".

 

[Addavenibaffone]

Per il momento no, loro non possono farlo, ma immagino che il "Security Researcher" me li chiederebbe come compenso per la sua consulenza se decidessi di contattarlo.

"DISCLAIMER: As a non-profit project, Open Bug Bounty never acts as an intermediary between website owners and security researchers. Our role is strictly limited to independent verification of the reports and proper notification of website owners by all available means".


"A security researcher can delete the report before public disclosure, afterwards the report cannot be deleted or modified anymore. The researcher can also postpone public disclosure date as long as reasonably required to remediate the vulnerability".

 

Non lo so Dieguito a me sembra un sistema per spillarti soldi
spero che qualcuno degli informatici del forum ti possa dare una risposta rapida ed esaustiva
mi sono permesso di intervenire solo perché avevo sentito qualcosa di simile ed era poi una truffa

# il papponista è  la più bassa forma di vita dell'universo #

[Dieguito]

Non lo so Dieguito a me sembra un sistema per spillarti soldi
spero che qualcuno degli informatici del forum ti possa dare una risposta rapida ed esaustiva
mi sono permesso di intervenire solo perché avevo sentito qualcosa di simile ed era poi una truffa

# il papponista è  la più bassa forma di vita dell'universo #

Probabilmente in qualche modo lo è, ma è congegnato molto bene. È tutto perfettamente legale e trasparente. Il sito open bug bounty è pulito, c'è anche una voce su Wikipedia che spiega come funziona, però i security researcher boh, sicuramente lo fanno per soldi. Il mio sito, per motivi vari, è molto in vista nei motori di ricerca. Su Google aveva un page rank pari a 5 quando esisteva il PR, che è una cosa enorme, spropositata per un sitarello personale. Ma a nessuno verrebbe in mente di hackerarlo. Però qualora questi pubblicassero le istruzioni dettagliate per farlo, un perdigiorno che vuole divertirsi a mie spese secondo me si trova.

M

[True User of Liberty]

l'ideale sarebbe avere un software open sempre aggiornato tipo wordpress, lo usano milioni di persone se c'è un bug viene fixato seduta stante

[Panda_Bellucore_Abraxas]

Probabilmente in qualche modo lo è, ma è congegnato molto bene. È tutto perfettamente legale e trasparente. Il sito open bug bounty è pulito, c'è anche una voce su Wikipedia che spiega come funziona, però i security researcher boh, sicuramente lo fanno per soldi. Il mio sito, per motivi vari, è molto in vista nei motori di ricerca. Su Google aveva un page rank pari a 5 quando esisteva il PR, che è una cosa enorme, spropositata per un sitarello personale. Ma a nessuno verrebbe in mente di hackerarlo. Però qualora questi pubblicassero le istruzioni dettagliate per farlo, un perdigiorno che vuole divertirsi a mie spese secondo me si trova.

M

Scusa Deguito il tuo sito su che base è realizzato? Dicci qualcosa in più.

[Dieguito]

l'ideale sarebbe avere un software open sempre aggiornato tipo wordpress, lo usano milioni di persone se c'è un bug viene fixato seduta stante

Scusa Deguito il tuo sito su che base è realizzato? Dicci qualcosa in più.

È basato su zenphoto, un CMS open source un po' di nicchia, specializzato in gallerie fotografiche. Ogni tanto collaboro con gli sviluppatori, trovo qualche bug, a volte anche qualche fix, ho pure realizzato un plugin, figuro addirittura tra i membri del team, ma su problemi complessi relativi alla sicurezza sono abbastanza ignorante. Quando lo scelsi, nel 2009, era probabilmente il migliore su piazza. Ora però è un po' obsoleto e gli sviluppatori realmente attivi sono pochini.

M

[True User of Liberty]

È basato su zenphoto, un CMS open source un po' di nicchia, specializzato in gallerie fotografiche. Ogni tanto collaboro con gli sviluppatori, trovo qualche bug, a volte anche qualche fix, ho pure realizzato un plugin, figuro addirittura tra i membri del team, ma su problemi complessi relativi alla sicurezza sono abbastanza ignorante. Quando lo scelsi, nel 2009, era probabilmente il migliore su piazza. Ora però è un po' obsoleto e gli sviluppatori realmente attivi sono pochini.

M

Comunque se non conservi dati personali importanti stai tranquillo, programma un backup giornaliero anche se ti hackerano prendi il backup pulito e tanti saluti

Inviato dal mio Mi A2 Lite utilizzando Tapatalk

[Dieguito]

Comunque se non conservi dati personali importanti stai tranquillo, programma un backup giornaliero anche se ti hackerano prendi il backup pulito e tanti saluti

Inviato dal mio Mi A2 Lite utilizzando Tapatalk

Giusto, hai ragione. In effetti il backup giornaliero è già attivo. Gli unici dati raccolti sono le email di chi commenta o mi contatta tramite contact form. Comunque ne parlerò con il chief developer.

M

[Dieguito]

Solo che se mi hackerano e non me ne accorgo subito, il sito potrebbe finire su una blacklist, perdendo tutta l'ottima reputazione tanto faticosamente guadagnata in 10 anni.


M

[True User of Liberty]

Solo che se mi hackerano e non me ne accorgo subito, il sito potrebbe finire su una blacklist, perdendo tutta l'ottima reputazione tanto faticosamente guadagnata in 10 anni.


M

Così a volo direi reverse proxy, nascondi l'IP del server principale e aggiungi un layer di sicurezza

Inviato dal mio Mi A2 Lite utilizzando Tapatalk

[Dieguito]

Così a volo direi reverse proxy, nascondi l'IP del server principale e aggiungi un layer di sicurezza

Inviato dal mio Mi A2 Lite utilizzando Tapatalk

Non so bene cosa vuol dire, ma si può fare su un server condiviso a cui non ho accesso diretto?

[Dieguito]

Su open bug bounty dicono solo questo:
Vulnerability Type:   XSS (Cross Site Scripting) / CWE-79

 

[True User of Liberty]

Su open bug bounty dicono solo questo:
Vulnerability Type:   XSS (Cross Site Scripting) / CWE-79

 

Se il problema è solo questo disabilità i commenti e sei a posto

Inviato dal mio Mi A2 Lite utilizzando Tapatalk