Je bent een white-hat hacker en hebt een zero-day gevonden in de software van een groot techbedrijf als Google of Facebook. Wat kun je daarvoor vragen? PCM duikt in verscheidene bugbounty-programma's.

Software is altijd lek. Het is een illusie dat je als bedrijf een besturingssysteem of programma kunt maken zonder gaten, maar hoe je daarmee omgaat is een andere vraag. Het is een probleem dat steeds dringender om een oplossing vraagt, maar een eenduidig antwoord is er niet.

Wat een zero-day is

Een gat in software dat door de fabrikant nog niet is ontdekt, heet een ‘zero-day’, iets dat ‘pas 0 dagen’ bekend is bij de softwareleverancier. Zero-days moeten zo snel mogelijk worden opgelost, want iedereen die de software gebruikt zonder een patch is potentieel kwetsbaar voor hackers. Daarbij draait het er echter wel om wie er allemaal weet van een lek, en wat daarmee gedaan wordt.

Inmiddels erkennen de meeste bedrijven wel dat hun software niet perfect is. In plaats van dat onder het tapijt te schuiven is het beter daar verantwoord mee om te gaan. Een aantal jaar geleden kwamen de eerste grote softwarebedrijven dan ook met bug-bountyprogramma’s, die inmiddels zo ingeburgerd zijn dat ieder serieus bedrijf er wel eentje heeft.

Bug bounty

Een bug bounty-programma is de openbare jacht naar lekken in software. In plaats van hopen dat niemand ze vindt, zetten veel bedrijven een eigen programma op om hackers aan te moedigen actief te gaan zoeken naar zwakke plekken in programma’s, websites of servers.

Menig bedrijf heeft nu hele divisies opgezet om datalekken te vinden

Op die manier worden hackers gestimuleerd zelf actief op zoek te gaan naar lekken en om daar op een verantwoordelijke manier mee om te gaan. Bij veel bedrijven gebeurt dat op de achtergrond. Het bug-bountybeleid zit ergens verstopt op de site, alleen te vinden voor wie er specifiek naar zoekt op Google.

Er zijn echter ook genoeg bedrijven te vinden die het anders doen. Neem Google, of Facebook. Die hebben namelijk hele divisies opgezet voor het vinden van datalekken. Facebook staat erom bekend cryptoparties te houden, feestelijke avonden waarin hackers bij elkaar komen om een avond lang firewalls door te breken, te pentesten en het systeem zoveel mogelijk kapot te maken. 

Verdienen aan zero-days

De ‘bounty’ in het programma verschilt van bedrijf tot bedrijf. Veel kleine bedrijven bieden bijvoorbeeld slechts een bedankje, een vermelding op de website met een uitleg van het lek en misschien een klein presentje zoals een powerbank of een usb-stick. 

Dat is voor veel ethische hackers ook genoeg. Whitehat-onderzoekers speuren naar zero-days voor de roem, niet voor het grote geld. Als zij dat willen verdienen, kunnen ze in dienst van bijvoorbeeld het Team High Tech Crime of bij multinationals als Shell veel sneller rijk worden. 

Deze praktijk verandert de laatste jaren echter wel, en dat levert inmiddels frictie op. Waarom zou je nog genoegen nemen met ‘erkenning’ als een miljardenbedrijf zoals Google, Facebook, of Apple beter wordt van jouw ontdekkingen? Steeds vaker vinden hackers dat een bedankje niet genoeg meer is.

Apple was het laatste bedrijf dat daarop insprong. Het programma bood gelijk één van de hoogste beloningen aan van alle bedrijven voor het melden van bugs. Onderzoekers kunnen tot wel 200.000 dollar verdienen met het programma – al zijn minder grote lekken een stuk minder waard.

Verschil in prijs

De prijs van een melding verschilt per bedrijf, maar ook per lek zelf. Daarbij wordt gekeken naar de ernst van het lek, wat je daarmee kunt doen, en hoeveel mensen er potentieel slachtoffer van worden. Ook de uitbetaling is vaak afhankelijk van hoe het lek wordt gepatcht - of juist niet.

Apple looft de hoogste beloning uit: 200.000 dollar

De kwartmiljoen dollar van Apple is bijvoorbeeld de hoogste prijs die het bedrijf betaalt voor een lek, maar dat is alleen voor een exploit waarmee je malafide applicaties kunt installeren. Vind je een lek waarmee je bijvoorbeeld ‘slechts’ malafide code kunt injecteren vanuit de kernel, dan krijg je 50,000 dollar.

De hoogte van de beloning heeft ook te maken met hoeveel mensen mogelijk geraakt worden door de bug. Zo is een lek in Windows meer waard dan een lek in macOS, en een exploit in Chrome meer dan een lek in Firefox. Je moet daarna ook kijken naar hoe makkelijk een lek is uit te buiten. Een lek in Flash is bijvoorbeeld makkelijker te vinden en daarom minder waard. Maar een lek in het zeer goed beveiligde iOS, daar zit wel veel geld in.

Bug bounty prijzen

Ter afronding en om een idee te geven over de bedragen waaraan je kunt denken bij enkele van de bekendste techfirma's, even een kort overzicht van de prijzen die gehanteerd worden.

De (dollar)prijzen verschillen in hoogte, afhankelijk van de ernst van het lek.

Adobe (Flash): 5000 - 30.000
macOS: 20.000 - 50.000
Android: 30.000 - 60.000
Word: 50.000 - 100.000
Windows: 60.000 - 120.000
Firefox: 60.000 - 150.000
Chrome: 80.000 - 200.000

De Lexus NX verscheen in 2014 en kende sindsdien een bescheiden succes in Nederland, met zo'n 1500 verkochte exemplaren. Het merk groeit wereldwijd echter flink. Met de lancering van de plug-inhybride NX450h+ zet Lexus deze lijn voort. Irwin van InstaAutoVlog heeft het model getest en deelt zijn bevindingen.

Positionering

De Lexus NX strijdt met auto's als de BMW (i)X3, de Volvo XC60 en de Mercedes-Benz GLC. Ook de Audi Q5 is een directe opponent. Het onderscheidende vermogen? Een rijke standaarduitrusting, Lexus' Red Carpet Treatment en de standaard van een hybride aandrijflijn. 

Afmetingen

Met een lengte van 4,66 meter en een breedte van bijna 1,87 meter is hij iets compacter dan sommige concurrenten, maar hij wint het in hoogte met 1,66 meter. Dit geeft de NX een robuuste, maar nooit logge uitstraling, passend bij zijn klasse.

©Irwin Versteegh - Duijnstee

F-Sport-uitvoering

In het donker zorgt de scherp vormgegeven led-verlichting voor en achter voor een sterke uitstraling en herkenbare signatuur. De grille is een opvallend detail, zeker bij de F-Sport uitvoering. Deze testversie valt op door die grille, zwarte dakrails en raamomlijsting, en bijpassende zwarte buitenspiegels. De 20-inch F-Sport Design wielen versterken de sportieve uitstraling, vooral in combinatie met de F-White lak.

©Irwin Versteegh - Duijnstee

Premium interieur

De Lexus NX biedt een luxe interieur: alles voelt solide en prettig aan. Bovenop het dashboard zit standaard een 14inch-touchscreen voor infotainment vanaf de Business Line; de basisuitvoering heeft een 9,8inch-scherm. Navigatie en draadloos Apple CarPlay of Android Auto zijn standaard aanwezig.

©Irwin Versteegh - Duijnstee

E-Latch-deuropeners

Het zitcomfort is goed en ook de ondersteuning voor beide ellebogen is uitstekend. Enkel het axiaal beperkt verstelbare stuurwiel kan beter. De NX is voorzien van een deels digitaal instrumentarium en e-Latch deurontgrendeling. Deze portieropeners zorgen ervoor dat je geen deur kunt openen als er verkeer van achteren aankomt.

©Irwin Versteegh - Duijnstee

Details en afwerking

In de Lexus NX zijn details en finesse volop aanwezig. De bediening van elementen zoals de middenarmsteun voelt licht en doordacht, terwijl de klimaatregeling, met nanotechnologie, niet alleen nare geurtjes, maar ook droge huid helpt voorkomen. De geluidsisolatie zorgt daarnaast voor rust in het interieur.

Standaard krijg je een audiosysteem met negen luidsprekers en een subwoofer. Voor wie meer wil, is er in de President-uitvoering een Mark Levinson-systeem met zeventien luidsprekers en een vermogen van 1800 watt, voor een premium luisterervaring.

©Irwin Versteegh - Duijnstee

1500 kilo trekgewicht

Op de achterbank is voldoende plek voor drie volwassenen. De kofferbakinhoud is voor alle versies gelijk. Deze meet 520 liter en is te vergroten naar maximaal 1411 liter. Een sterk punt van de PHEV is het trekgewicht. Mag de normale hybride als 2WD en AWD maximaal 1000 kilogram trekken, na het aanvinken van het 2495 euro kostende Explorer Pack wordt dit naar 1500 kilogram verhoogd. In het pack zit een afneembare trekhaak en een kogeldruk van 100 kilogram. 

©Irwin Versteegh - Duijnstee

Bereik van de accu

De instap-Lexus NX betreft de 350h. Deze is voorwielaangedreven en beschikt over een 2,5liter-viercilinder benzinemotor die samenwerkt met een 192pk en 270Nm sterke elektromotor. Er is ook een 350h AWD met een extra 54pk en 121 Nm sterke elektromotor op de achteras.

Voor de test is gereden met de plug-in hybride 450h+. De basis-aandrijflijn is gelijk aan die van de 350h AWD. Dankzij een 18,1kWh-lithium-ion batterij kan het elektrische vermogen langer worden aangesproken: zo'n 74 (Luxury Line) of 69 kilometer volgens de WLTP-testmethode.

🚘Meer weten over auto-afkortingen? Lees dan: Van actieradius tot WLTP: dit is het EV-ABC

©Irwin Versteegh - Duijnstee

Accumanagement

De auto is uitgerust met een eenfase-6,6 kW boordlader, terwijl de warmtepomp ook in de winter zorgt voor een bruikbare actieradius. Interessant is de slimme software die ervoor zorgt dat de batterij in topconditie blijft, zelfs als je deze niet vaak oplaadt. De accu wordt regelmatig ont- en opgeladen om alle cellen actief te houden. Lexus biedt bovendien 10 jaar garantie op de batterij.

Krachtige en soepele aandrijflijn

Het gecombineerde vermogen is 309 pk en in 6,3 seconden ben je van 0 tot 100 km/u. De topsnelheid is 200 km/u. Prettig is het hoge elektrische vermogen van gecombineerd 246 pk, zo'n 100 pk meer dan bij de concurrentie.

Verbruik bij lege accu

Is de accu na zo'n 65 kilometer te hebben gereden leeg, dan verandert de NX in een normale hybride. De elektromotor wordt getemperd en dat zorgt mede voor een op dat moment nog steeds laag brandstofverbruik. Een gemiddelde van 1 op 16 is dan prima te realiseren; een uitstekende waarde. 

©Irwin Versteegh - Duijnstee

Rijdynamiek

Voor wat betreft de rijdynamiek plaatst de NX zich tussen de compactere LBX en grotere broer RX. Zo stuurt hij verrassend direct en voelt hij mede dankzij het formaat wendbaar en overzichtelijk. Op de snelweg is het de rust in het onderstel waarmee hij overtuigt,net als de uitstekende geluidsisolatie, rechtuit-stabiliteit en het uitmuntend werkende Lexus Safety System+, inclusief een autonome rij-assistent van level 2. 

©Irwin Versteegh - Duijnstee

AVS-dempers

Kun je de Volvo, Mercedes en Audi optioneel met luchtvering krijgen, bij Lexus is dit niet het geval. Het merk focust zich op zogeheten AVS-dempers. Deze Adaptive Variable Suspension-ophanging is standaard onder de F-Sport en President Line en zorgt ervoor dat de NX te allen tijde vlak blijft. Dit kan extra comfort geven, maar met name bij het afrijden van drempels zou een soepelere demping juist voor wat meer comfort mogen zorgen. 

©Irwin Versteegh - Duijnstee

Prijzen en uitvoeringen

De Lexus NX is als 350h leverbaar vanaf 61.995 euro. De 350h AWD kost minimaal 71.995 euro. Pluggen kan met de 450h+ vanaf 65.995 euro en de geteste 450h+ F-Sport Line staat voor 74.995 euro op de lijst. 

De HMD Fusion is een van de opvallendste smartphones van 2024. Je kunt namelijk speciale hoesjes om de telefoon doen om extra functies te gebruiken. Zo kan de budgettelefoon opeens betere selfies maken of draadloos opladen. In deze HMD Fusion-review zoomen we in op de accessoire en de smartphone zelf.

De HMD Fusion is te koop in twee versies, met respectievelijk 6 GB werkgeheugen en 128 GB opslagcapaciteit en 8 GB / 256 GB. Wij hebben het eerste model getest, dat een adviesprijs van 270 euro draagt. Voor dertig euro meer koop je het betere model, wat wij een nette meerprijs vinden.

In de doos vind je naast een usb-c-oplaadkabel ook een stevig transparant hoesje, dat geen functies toevoegt behalve je toestel beschermen tegen krassen en een valpartij. HMD verkoopt het hoesje ook in het blauw, groen en roze.

Speciale hoesjes

Interessanter zijn de accessoires die wél extra’s bieden, via de stroompinnetjes in het hoesje en op de achterkant van de telefoon. HMD presenteerde in september een hoesje met uitklappende ledring voor betere selfies in het donker, een extra stevig hoesje met een SOS-knop en een hoesje dat draadloos opladen mogelijk maakt.

Met de verkrijgbaarheid van die hoesjes schiet het vooralsnog niet op: die met de selfiering en SOS-knop komen volgens de HMD-website 'later dit jaar beschikbaar' en het oplaadhoesje ontbreekt begint november nog op die website. Wat de hoesjes gaan kosten, is ook nog onduidelijk.

Gelukkig kon HMD ons wel al een hoesje met selfiering opsturen om te testen in combinatie met de Fusion. Dat hoesje is stevig en biedt veel grip. De ledring rond de cameramodule op de achterkant is met een vrije hand makkelijk – maar niet té makkelijk – omhoog te klappen en prijkt dan boven het scherm uit. Vervolgens vind je in de camera-app een instelling voor de aparte flitser, die dus stroom krijgt via het toestel. Je kunt in die instelling onder andere de kleurweergave en helderheid van de flitsring aangeven. De flitsring werkt naar behoren.

📱Leestip: Waar voor je geld: 5 uitgebreide smartphones voor max 500 euro

©Rens Blom

Hieronder vind je twee selfies, gemaakt in het donker op straat. Op de linkerfoto gebruikten we de HMD Fusion als een normale smartphone, waarbij het scherm oplicht om je gezicht in beeld te brengen. Op de rechterfoto stond de flitsring boven het scherm. Wij kregen gemengde reacties op het nut en de kwaliteit van de flitsring, met name omdat hij je gezicht minder natuurlijk weergeeft.

©Rens Blom

Interessant initiatief

Hoewel we dus nog niets kunnen zeggen over de prijzen en de kwaliteit van de andere hoesjes, vinden we het initiatief van HMD interessant. Het doet ons terugdenken aan Motorola, dat jaren geleden al smartphonehoesjes met boeiende functies uitbracht. Denk aan een extra accu, krachtige luidspreker of zelfs miniprinter. HMD pakt het vooralsnog minder exotisch aan, maar belooft wel meer speciale hoesjes. Wij zijn benieuwd.

Positief in ieder geval is dat HMD alle benodigde technische informatie opensource gemaakt heeft, waardoor bedrijven en hobbyisten zelf hoesjes en accessoires kunnen maken die werken met de Fusion.

De HMD Fusion als smartphone

Als smartphone is de HMD Fusion ook noemenswaardig. In lijn met HMD's duurzaamheidsfilosofie is het toestel grotendeels zelf uit elkaar te halen met een schroevendraaier. Op die manier kun je het scherm, de accu, usb-c-poort en andere belangrijke onderdelen vervangen.

HMD verkoopt die onderdelen (straks) zelf via zijn website en stelt reparatiehandleidingen beschikbaar. Een mooi pluspunt van het toestel, zeker ten opzichte van concurrerende telefoons die alleen door een professionele partij te repareren zijn. De prijzen van vervangende onderdelen vinden we schappelijk. Een nieuwe accu kost 25 euro, een nieuw scherm 50 euro.

©Rens Blom

Als 270 euro kostende telefoon biedt de HMD Fusion echter minder goede specificaties dan je verwacht in deze prijsklasse. Weliswaar voelt het toestel stevig aan, het 6,56inch-LCD-scherm met lage resolutie van 1612 x 720 pixels maakt het beeld niet scherp. En de Qualcomm Snapdragon 4 Gen 2-processor is oud en eenvoudig, waardoor de telefoon merkbaar trager is dan de concurrentie. Dat belooft weinig goeds voor de prestaties na een jaar gebruik.

Ook op de camera's is bezuinigd. De Fusion mist een groothoekcamera om extra wijde foto’s te schieten, bijvoorbeeld. Daar staat tegenover dat HMD de Fusion wel een prima selfiecamera met een 50megapixel-resolutie geeft. De camera achterop heeft maar liefst 108 megapixels, maar is kwalitatief niet bijzonder.

©Rens Blom

De 5000mAh-accu gaat wel lekker lang mee, geholpen door de eenvoudige processor en lage schermresolutie. Je kunt de HMD Fusion bijna twee dagen gebruiken voordat je de oplader moet pakken.

Mager updatebeleid

Het updatebeleid van de Fusion is helaas mager. HMD belooft upgrades naar Android 15 en 16 en drie jaar beveiligingsupdates. In dit prijssegment kun je telefoons met vier of vijf jaar updates kopen, onder andere van Samsung.

Conclusie: HMD Fusion kopen?

De HMD Fusion is een interessante smartphone omdat je hem kunt uitbreiden met hoesjes vol extra functies. Een bijzonder concept, al hebben we helaas nog niet alle hoesjes kunnen testen. Als toestel zelf maakt de Fusion minder indruk: hij is weliswaar prima te repareren, maar heeft eenvoudige specificaties en krijgt korter updates dan de concurrentie. Zo is de HMD Fusion een opvallende telefoon voor een select publiek.