Společnost Microsoft oznamuje odměnu až 20 000 USD v rámci programu Xbox Bug Bounty

Společnost Microsoft oznámila spuštění programu Xbox Bounty pro hráče a výzkumníky v oblasti kybernetické bezpečnosti, který má pomoci identifikovat chyby zabezpečení v síti a službách Xbox Live. V příspěvku na blogu zveřejněném ve čtvrtek společnost uvedla, že cílem programu odměn za chyby je „Odhalit významné chyby zabezpečení, které mají přímý a prokazatelný dopad na bezpečnost zákazníků společnosti Microsoft“, a kvalifikované příspěvky budou mít nárok na odměny ve výši 500 až 20 000 USD.

Stejně jako u většiny bug bounty programů musí být chyby zabezpečení dříve nehlášené a musí být reprodukovatelné na nejnovější, plně opravené verzi sítě a služeb Xbox Live společnosti v době odeslání. Budou také muset přímo ovlivnit zabezpečení uživatelů konzoly Xbox, což znamená, že chyby vzdáleného spuštění kódu, které jsou z hlediska závažnosti vrcholem hromady, získají maximální odměnu. Jiní, jako je zvýšení oprávnění, obejití bezpečnostních funkcí a spoofing, získají menší odměny mezi 1 000 a 5 000 USD.

Mezi zranitelná místa mimo rozsah patří problémy s odmítnutím služby, protože to bude vyžadovat, aby výzkumní pracovníci provedli testování DoS / DDoS, a tím narušili služby společnosti. Společnost rovněž uvádí, že zpřístupnění informací na straně serveru, chyby CSRF s nízkým dopadem, převzetí subdomény, chyby zabezpečení přehrávání souborů cookie, základní přesměrování adres URL a cokoli, co zahrnuje phishingové nebo sociální inženýrské útoky proti zaměstnancům nebo zákazníkům společnosti Microsoft, také nejsou způsobilé pro odměny v rámci program.

Program odměn za chyby v Xboxech přichází jen několik měsíců poté, co společnost zavedla podobný program pro svůj prohlížeč Edge založený na Chromu, s odměnami až 30 000 USD pro výzkumníky v oblasti kybernetické bezpečnosti, kteří mohou najít chyby v kanálech Dev a Beta softwaru . Společnost také provozuje řadu dalších takových programů pro Windows, Office, .NET a další, ale nejvyšší odměny jsou vyhrazeny pro zprávy o zranitelnosti na cloudových službách Azure a virtualizačních serverech Hyper-V.