Yeswehack lanciert Service für Erstellung einer Vulnerability Disclosure Policy

6. Oktober 2020 um 14:59
  • security
  • datenschutz
  • lücke
  • yeswehack
  • channel
image

Wer klare Vulnerability-Disclosure-Regeln hat, könnte von ethischen Hackern wertvolle Gratis-Hinweise zu Schwachstellen in seiner Security erhalten.

Es gibt auf dieser Welt nicht nur böse Hacker, sondern auch ethische Hacker. Wenn sie in einem Unternehmensnetzwerk oder einem Produkt eines Unternehmens ein Sicherheitsproblem finden, würden sie dies oft gerne melden. Aber wenn ein Unternehmen, wie das sehr oft der Fall ist, keine oder keine klare Vulnerability Disclosure Policy (VDP) hat, weiss ein solcher Hacker nicht, wo und wie er Schwachstellen melden soll. Und ausserdem, argumentiert das Unternehmen Yeswehack, würden solche Meldungen oft als Angriffsversuch interpretiert. Deshalb nehmen viele ethische Hacker das Risiko einer Schwachstellenmeldung nicht auf sich, wenn es keine ausgewiesene VDP gibt.
Yeswehack ist ein französisches Unternehmen, das Bug-Bounty-Programme und Penetration-Tests organisiert. Nun versucht es, sich mit einem neuen Service ein neues Geschäftsfeld zu eröffnen und bietet Unternehmen neu auch Hilfe bei der Erstellung von VDPs an. Eine VDP, so betont Yeswehack, sei nicht das gleiche wie ein Bug-Bounty-Programm. Eine VDP sei ein passiver Ansatz: Sie biete einen sicheren Kommunikationskanal für jeden, der in guter Absicht einen Fehler melden möchte. Finanzielle Anreize gibt es dabei nicht: Die Belohnung für eine Meldung einer Sicherheitslücke kann schlicht ein herzliches Dankeschön sein.
Ein Bug-Bounty-Programm ein dagegen ein proaktiver Ansatz: Unternehmen laden ethische Hacker ein, Schwachstellen nach streng definierten Regeln zu identifizieren und zu melden. Dafür erhalten die Hacker dann eine vorher festgelegte, finanzielle Vergütung.
Der von Yeswehack neu angebotene VDP-Service umfasst Unterstützung bei der Ausarbeitung des Textes und Hilfe bei der Erstellung einer VDP-Seite, die in die Website des Kunden integriert wird. Ausserdem wird ein sicheres Online-Meldeformular für das Schwachstellen-Reporting zur Verfügung gestellt. Eingereichte Berichte werden laut Yeswehack durch die Speicherung eines Hinterlegungsnachweises in einer Blockchain nachverfolgbar gemacht. Optional kann man Yeswehack auch die Sichtung der Meldungen und die Kommunikation mit den Hackern überlassen.

Loading

Mehr zum Thema

image

Beim VBS bleiben Meldungen zu Sicher­heits­ver­letzungen liegen

Ein Bericht deckt Mängel im Information-Security-Management des VBS auf. Schulungen und ein neues zentrales Tool sollen Besserungen bringen.

publiziert am 4.3.2024
image

Cyberkriminelle stehlen schützenswerte Daten von Franz Carl Weber

Die Ransomware-Bande Black Basta behauptet, über 700 GB an Daten des Spielwaren-Händlers ergaunert zu haben. Darunter finden sich vor allem persönliche Daten von Angestellten. Das Mutterhaus bestätigt den Angriff.

publiziert am 1.3.2024 1
image

Zürcher Securosys stellt Sicherheits­modul für Post-Quantum-Welt vor

Das neue Hardware-Sicherheitsmodul (HSM) unterstützt aktuelle wie auch die neuen Quanten-sicheren Algorithmen und soll sich so für den hybriden Einsatz eignen.

publiziert am 1.3.2024
image

Podcast: Sind die Bemühungen gegen Ransomware-Banden aussichtslos?

Lockbit und Alphv wurden zerschlagen – und waren Tage danach wieder aktiv und drohen mit Vergeltung. Wir diskutieren, ob die Bemühungen gegen Ransomware aussichtslos sind.

publiziert am 1.3.2024