Выскрабанне бочкі: Meta пашырае сваю праграму Bounty

Meta пашырыла сваю праграму ўзнагароджання памылак, каб узнагародзіць даследчыкаў бяспекі, якія адкрываюць новыя спосабы правядзення скрабінг-атак, прызначаных для збору інфармацыі аб карыстальніках Facebook.

«Мы ведаем, што аўтаматызаваная дзейнасць, прызначаная для ачысткі публічных і прыватных даных людзей, накіравана на кожны вэб-сайт або службу», — кажа Мета ў сваім аб'яву. «Мы таксама ведаем, што гэта вельмі змагарная прастора, дзе скрабкі — няхай гэта будзе шкоднасныя apps, вэб-сайты або скрыпты — пастаянна адаптуюць сваю тактыку, каб пазбегнуць выяўлення ў адказ на абарону, якую мы ствараем і ўдасканальваем».

Таму кампанія вырашыла запрасіць Хакер плюс членам залатых, плацінавых і брыльянтавых ліг адпраўляць памылкі, якія можна выкарыстоўваць для ачысткі дадзеных карыстальнікаў Facebook. Meta кажа, што спецыяльна «шукае памылкі, якія дазваляюць зламыснікам абыйсці абмежаванні скрабінгу для доступу да даных у большым маштабе, чым задумваўся прадукт», каб яны маглі мінімізаваць кошт сваіх нападаў.

«Наколькі нам вядома, гэта першая праграма ўзнагароджання памылак у галіны», - кажа Мета. «Мы будзем працаваць над тым, каб атрымаць водгукі ад нашых галоўных паляўнічых за галовамі, перш чым пашыраць сферу дзеяння на вялікую аўдыторыю».

Але кампанія ўзнагароджвае не толькі даследчыкаў бяспекі, якія знаходзяць памылкі, якія можна выкарыстоўваць для правядзення скрабінг-атак. Meta таксама ўзнагародзіць тых, хто папярэджвае яе аб наборах даных, якія ўжо былі выдалены з яго сэрвісу і зроблены даступнымі для грамадскасці. Такім чынам, ён можа прадухіліць такія атакі, а таксама змякчыць наступствы выскрабання, якое ўжо адбылося.

Гэта пашырэнне праграмы ўзнагароджання дадзеных таксама мае абмежаванні. «Мы будзем узнагароджваць паведамленні аб неабароненых або адкрыта публічных базах дадзеных, якія змяшчаюць па меншай меры 100,000 XNUMX унікальных запісаў карыстальнікаў Facebook з PII або канфідэнцыяльнымі дадзенымі (напрыклад, электронная пошта, нумар тэлефона, фізічны адрас, рэлігійная або палітычная прыналежнасць)», - кажа Мета. «Паведамлены набор даных павінен быць унікальным і раней не вядомым або паведамленым у Meta».

Кампанія заяўляе, што звернецца да такіх хостынг-правайдэраў, як Amazon Web Services, Box і Dropbox, каб выдаліць скачаную інфармацыю са сваіх платформаў. Акрамя таго, плануецца пашырыць рамкі гэтай праграмы, каб уключыць меншыя аб'ёмы інфармацыі пасля таго, як яна атрымае зваротную сувязь ад даследчыкаў, якія выяўляюць і раскрываюць гэтыя большыя навалы даных.

Meta кажа, што не хоча заахвочваць даследчыкаў самастойна ачышчаць дадзеныя, аплачваючы ім наўпрост за іх раскрыццё, вядома, так што замест гэтага яна будзе «ўзнагароджваць сапраўдныя справаздачы аб ачышчаных наборах даных у выглядзе дабрачынных ахвяраванняў некамерцыйным арганізацыям па выбары нашых даследчыкаў. ” Паколькі кампанія спалучае выплаты ўзнагароджання дабрачынным арганізацыям, сума, выплачаная некамерцыйным арганізацыям, будзе вышэйшай.