Je bent een white-hat hacker en hebt een zero-day gevonden in de software van een groot techbedrijf als Google of Facebook. Wat kun je daarvoor vragen? PCM duikt in verscheidene bugbounty-programma's.

Software is altijd lek. Het is een illusie dat je als bedrijf een besturingssysteem of programma kunt maken zonder gaten, maar hoe je daarmee omgaat is een andere vraag. Het is een probleem dat steeds dringender om een oplossing vraagt, maar een eenduidig antwoord is er niet.

Wat een zero-day is

Een gat in software dat door de fabrikant nog niet is ontdekt, heet een ‘zero-day’, iets dat ‘pas 0 dagen’ bekend is bij de softwareleverancier. Zero-days moeten zo snel mogelijk worden opgelost, want iedereen die de software gebruikt zonder een patch is potentieel kwetsbaar voor hackers. Daarbij draait het er echter wel om wie er allemaal weet van een lek, en wat daarmee gedaan wordt.

Inmiddels erkennen de meeste bedrijven wel dat hun software niet perfect is. In plaats van dat onder het tapijt te schuiven is het beter daar verantwoord mee om te gaan. Een aantal jaar geleden kwamen de eerste grote softwarebedrijven dan ook met bug-bountyprogramma’s, die inmiddels zo ingeburgerd zijn dat ieder serieus bedrijf er wel eentje heeft.

Bug bounty

Een bug bounty-programma is de openbare jacht naar lekken in software. In plaats van hopen dat niemand ze vindt, zetten veel bedrijven een eigen programma op om hackers aan te moedigen actief te gaan zoeken naar zwakke plekken in programma’s, websites of servers.

Menig bedrijf heeft nu hele divisies opgezet om datalekken te vinden

Op die manier worden hackers gestimuleerd zelf actief op zoek te gaan naar lekken en om daar op een verantwoordelijke manier mee om te gaan. Bij veel bedrijven gebeurt dat op de achtergrond. Het bug-bountybeleid zit ergens verstopt op de site, alleen te vinden voor wie er specifiek naar zoekt op Google.

Er zijn echter ook genoeg bedrijven te vinden die het anders doen. Neem Google, of Facebook. Die hebben namelijk hele divisies opgezet voor het vinden van datalekken. Facebook staat erom bekend cryptoparties te houden, feestelijke avonden waarin hackers bij elkaar komen om een avond lang firewalls door te breken, te pentesten en het systeem zoveel mogelijk kapot te maken. 

Verdienen aan zero-days

De ‘bounty’ in het programma verschilt van bedrijf tot bedrijf. Veel kleine bedrijven bieden bijvoorbeeld slechts een bedankje, een vermelding op de website met een uitleg van het lek en misschien een klein presentje zoals een powerbank of een usb-stick. 

Dat is voor veel ethische hackers ook genoeg. Whitehat-onderzoekers speuren naar zero-days voor de roem, niet voor het grote geld. Als zij dat willen verdienen, kunnen ze in dienst van bijvoorbeeld het Team High Tech Crime of bij multinationals als Shell veel sneller rijk worden. 

Deze praktijk verandert de laatste jaren echter wel, en dat levert inmiddels frictie op. Waarom zou je nog genoegen nemen met ‘erkenning’ als een miljardenbedrijf zoals Google, Facebook, of Apple beter wordt van jouw ontdekkingen? Steeds vaker vinden hackers dat een bedankje niet genoeg meer is.

Apple was het laatste bedrijf dat daarop insprong. Het programma bood gelijk één van de hoogste beloningen aan van alle bedrijven voor het melden van bugs. Onderzoekers kunnen tot wel 200.000 dollar verdienen met het programma – al zijn minder grote lekken een stuk minder waard.

Verschil in prijs

De prijs van een melding verschilt per bedrijf, maar ook per lek zelf. Daarbij wordt gekeken naar de ernst van het lek, wat je daarmee kunt doen, en hoeveel mensen er potentieel slachtoffer van worden. Ook de uitbetaling is vaak afhankelijk van hoe het lek wordt gepatcht - of juist niet.

Apple looft de hoogste beloning uit: 200.000 dollar

De kwartmiljoen dollar van Apple is bijvoorbeeld de hoogste prijs die het bedrijf betaalt voor een lek, maar dat is alleen voor een exploit waarmee je malafide applicaties kunt installeren. Vind je een lek waarmee je bijvoorbeeld ‘slechts’ malafide code kunt injecteren vanuit de kernel, dan krijg je 50,000 dollar.

De hoogte van de beloning heeft ook te maken met hoeveel mensen mogelijk geraakt worden door de bug. Zo is een lek in Windows meer waard dan een lek in macOS, en een exploit in Chrome meer dan een lek in Firefox. Je moet daarna ook kijken naar hoe makkelijk een lek is uit te buiten. Een lek in Flash is bijvoorbeeld makkelijker te vinden en daarom minder waard. Maar een lek in het zeer goed beveiligde iOS, daar zit wel veel geld in.

Bug bounty prijzen

Ter afronding en om een idee te geven over de bedragen waaraan je kunt denken bij enkele van de bekendste techfirma's, even een kort overzicht van de prijzen die gehanteerd worden.

De (dollar)prijzen verschillen in hoogte, afhankelijk van de ernst van het lek.

Adobe (Flash): 5000 - 30.000
macOS: 20.000 - 50.000
Android: 30.000 - 60.000
Word: 50.000 - 100.000
Windows: 60.000 - 120.000
Firefox: 60.000 - 150.000
Chrome: 80.000 - 200.000

Het kan zijn dat mensen die recentelijk aan Nioh 3 zijn begonnen geen progressie kunnen boeken vanwege verschillende bugs. Ontwikkelaar Team Ninja heeft aangegeven op de hoogte te zijn van de problemen en aan oplossingen te werken.

Een van de voornaamste problemen licht de ontwikkelaar ook uit op X. Spelers die de zogenaamde Crucible Manifesto voltooien en vervolgens naar de Eternal Rift gaan en daar dialogen van het personage Nekomoto overslaan - door bijvoorbeeld een menu te openen - kunnen daarna de missie niet voltooien. Hierdoor blijven ze dus vastzitten in de game. Ook het starten van een cutscene door bijvoorbeeld aan een Battle Scroll te beginnen, halteert progressie.

Team Ninja zegt dat de bug te vermijden is door dus geen menu’s te openen of tussenfilmpjes in te starten wanneer Nekomoto begint te praten. Wie nu al last heeft van dit probleem moet helaas wachten op de patch waar de ontwikkelaar momenteel aan werkt. Wanneer die uitrolt is nog niet bekend, maar gezien dit probleem op ieder beschikbaar platform optreedt wordt het - als het goed is - ook overal opgelost.

Over Nioh 3

In Nioh 3 doen spelers een open veld aan, dat overgenomen is door de zogenaamde Crucible en bomvol yokai - lees: geesten - zit. Je hebt twee gevechtssstijlen om deze monsters mee tegen te gaan: een meer actiegerichte Samurai-stijl en de Ninja-stijl die meer focus legt op snelheid en het gebruiken van speciale aanvallen. Door continu te wisselen tussen deze stijlen moet je deze soulslike kunnen overwinnen - als de code dus geen roet in het eten gooit.

Wie in Excel een contactlijst opstelt, merkt al snel dat de kolom met telefoonnummers zich niet altijd gedraagt zoals gehoopt. Zo verdwijnt de eerste 0 vaak vanzelf, waardoor de nummers minder bruikbaar worden. En dan hebben we het nog niet eens over de verwarring die kan ontstaan bij internationale telefoonnummers.

Telefoonnummers die beginnen met nul

Selecteer de cel met het telefoonnummer en ga naar het tabblad Start. Klik bij het onderdeel Getal op het kleine pijltje rechtsonder. In het dialoogvenster Cellen opmaken kies je in de linkerkolom Speciaal en daarna bij Type de optie Telefoonnummer. Let wel: deze optie verschijnt alleen als onderaan bij Locatie de optie Nederlands (standaard) is geselecteerd. Voor Belgische gebruikers geldt dat wanneer hier Locatie: Nederlands (België) staat, de optie Telefoonnummer niet beschikbaar is. Zij moeten dus de locatie wijzigen. Vanaf dan worden ook de voorloopnullen correct weergegeven.

Telefoonnummers formatteren

Wil je alle telefoonnummers op een vaste manier weergeven, bijvoorbeeld als (06) 1234 56 78, 06-1234 78 78 of 06 1234 56 78? Dat kan eenvoudig via het dialoogvenster Cellen opmaken. Kies eerst, zoals hierboven beschreven, de optie Telefoonnummer. Klik daarna links op Aangepast. In het vak Type verschijnt een standaardnotatie met hekjes, zoals 0#########. Deze kun je aanpassen naar een eigen indeling. Enkele voorbeelden: (0#) #### ## ## geeft (06) 1234 56 78,0#-#### ## ## geeft 06-1234 78 78 en 0# #### ## ## geeft 06 1234 56 78. Met de knop Opmaak kopiëren/plakken (het kwastje) kun je deze aangepaste weergave vervolgens toepassen op alle andere cellen. Let op, dit is puur een weergave. Excel behandelt de telefoonnummers nog steeds als getallen. Spaties, haakjes of streepjes maken dus geen deel uit van de waarde zelf. Dat betekent dat berekeningen ermee niet beïnvloed worden, maar dat je bij export of gebruik in andere programma's alleen de kale cijfers terugziet.

Internationale nummers

Bij internationale nummers wordt het landnummer voorafgegaan door het plusteken. Dat plusteken is betrouwbaarder dan een dubbele nul, omdat het internationale toegangsnummer niet in alle landen hetzelfde is. Ook deze weergave stel je in via Aangepast, met behulp van hekjes (#). Zorg ervoor dat je precies evenveel hekjes invult als het telefoonnummer cijfers telt. Vervolgens kun je de gewenste opmaak toevoegen door het plusteken en de spaties in de notatie op te nemen. Bijvoorbeeld +32 # ### ## ## geeft +32 3 456 78 90 en +31 # #### #### geeft +31 6 1234 5678.