$1,5 млрд заплатили за ошибки в коде

Google выплатила более $1,5 млрд за найденные баги

В 2014 году корпорация Google заплатила более $1,5 млрд экспертам по безопасности, нашедшим ошибки в программном обеспечении компании. Сумму поделили между 200 экспертами, которые обнаружили свыше 500 брешей в различном ПО.

Самый большой гонорар в $150 тыс. выплатили хакеру Джорджу Хотцу (George Hotz), более известному под псевдонимом GeoHot. Специалист воспользовался 4 уязвимостями ОС Chrome. Это позволило дистанционно запустить программу на удаленной системе. Хотц сумел сделать это во время хакерского состязания Pwnium, которое спонсирует Google. Для этого, кроме прочего, хакер воспользовался нарушением памяти в JavaScript-движке браузера Chrome и внедрением кода в оболочку Chrome OS. Хотцу предложили стажировку в отделе Project Zero. В этом подразделении Google элитные хакеры обнаруживают новые уязвимости в продукции разных компаний.

По словам сотрудника Google Эдуардо Вела Навы (Eduardo Vela Nava), большинство ошибок Chrome не попали в финальные версии софта. Их устранили ещё в процессе разработки. Нава рассказал не только о затратах на устранение брешей, но и о начале работы двух новых проектов в области безопасности. Один из них – исследовательский грант, которые предлагается за обнаружение багов в продукции, предложенной Google. Второй заключается в том, что в программу Vulnerability Reward добавили возможность получения премий за найденные ошибки в официально разработанных Google мобильных приложениях для iOS и Android.

Пока исследовательские гранты только тестируют и для их получения не требуется сразу раскрывать баги. Максимальная сумма – $3 тыс. Нава утверждает, что такие вознаграждения выдаются исследователям ещё до того, как они сообщат о брешах. После запуска программы по поиску уязвимостей безопасности в 2010 корпорация заплатила $4 млрд за находки специалистов. Google также предоставляет вознаграждения за пределами данного проекта.

kernel.org внезапно опустел: на зеркалах случайно удалили архивы ядра Linux

У kernel.org случился редкий инфраструктурный конфуз: из-за ошибки при настройке нового первичного зеркала и изменении системы синхронизации внезапно опустел каталог kernel.org/pub/. Именно там на публичных зеркалах хранились архивы с кодом выпусков ядра Linux, патчи и файлы со списками изменений.

Пользователи, заходившие в каталог, вместо привычного дерева файлов увидели пустоту. Очень философский опыт для мира открытого кода.

В Linux Foundation объяснили, что данные не потеряны: пострадали только копии на публичных зеркалах. Эталонные данные с кодом ядра Linux остались целы. Проблема возникла именно в инфраструктуре зеркалирования, где ошибочная настройка привела к удалению содержимого на существующих зеркалах.

Команда проекта уже занимается восстановлением данных. Но, как метко заметили участники kernel.org, удаление происходит быстро, а восстановление — медленно. Поэтому пользователей попросили набраться терпения.

Инцидент оказался неприятным не только для тех, кто привык скачивать архивы ядра напрямую с kernel.org. Он задел и сторонние проекты. Например, в Fedora сломались браузерные тесты openQA: много лет назад разработчики выбрали kernel.org как надёжный источник для проверки загрузки файлов.

Исходники ядра не исчезли, инфраструктура восстанавливается, а речь идет именно о зеркалах, но инцидент напоминает, что в больших системах даже аккуратная настройка зеркал может обернуться массовым rm -rf по публичным копиям.

RSS: Новости на портале Anti-Malware.ru