Je bent een white-hat hacker en hebt een zero-day gevonden in de software van een groot techbedrijf als Google of Facebook. Wat kun je daarvoor vragen? PCM duikt in verscheidene bugbounty-programma's.

Software is altijd lek. Het is een illusie dat je als bedrijf een besturingssysteem of programma kunt maken zonder gaten, maar hoe je daarmee omgaat is een andere vraag. Het is een probleem dat steeds dringender om een oplossing vraagt, maar een eenduidig antwoord is er niet.

Wat een zero-day is

Een gat in software dat door de fabrikant nog niet is ontdekt, heet een ‘zero-day’, iets dat ‘pas 0 dagen’ bekend is bij de softwareleverancier. Zero-days moeten zo snel mogelijk worden opgelost, want iedereen die de software gebruikt zonder een patch is potentieel kwetsbaar voor hackers. Daarbij draait het er echter wel om wie er allemaal weet van een lek, en wat daarmee gedaan wordt.

Inmiddels erkennen de meeste bedrijven wel dat hun software niet perfect is. In plaats van dat onder het tapijt te schuiven is het beter daar verantwoord mee om te gaan. Een aantal jaar geleden kwamen de eerste grote softwarebedrijven dan ook met bug-bountyprogramma’s, die inmiddels zo ingeburgerd zijn dat ieder serieus bedrijf er wel eentje heeft.

Bug bounty

Een bug bounty-programma is de openbare jacht naar lekken in software. In plaats van hopen dat niemand ze vindt, zetten veel bedrijven een eigen programma op om hackers aan te moedigen actief te gaan zoeken naar zwakke plekken in programma’s, websites of servers.

Menig bedrijf heeft nu hele divisies opgezet om datalekken te vinden

Op die manier worden hackers gestimuleerd zelf actief op zoek te gaan naar lekken en om daar op een verantwoordelijke manier mee om te gaan. Bij veel bedrijven gebeurt dat op de achtergrond. Het bug-bountybeleid zit ergens verstopt op de site, alleen te vinden voor wie er specifiek naar zoekt op Google.

Er zijn echter ook genoeg bedrijven te vinden die het anders doen. Neem Google, of Facebook. Die hebben namelijk hele divisies opgezet voor het vinden van datalekken. Facebook staat erom bekend cryptoparties te houden, feestelijke avonden waarin hackers bij elkaar komen om een avond lang firewalls door te breken, te pentesten en het systeem zoveel mogelijk kapot te maken. 

Verdienen aan zero-days

De ‘bounty’ in het programma verschilt van bedrijf tot bedrijf. Veel kleine bedrijven bieden bijvoorbeeld slechts een bedankje, een vermelding op de website met een uitleg van het lek en misschien een klein presentje zoals een powerbank of een usb-stick. 

Dat is voor veel ethische hackers ook genoeg. Whitehat-onderzoekers speuren naar zero-days voor de roem, niet voor het grote geld. Als zij dat willen verdienen, kunnen ze in dienst van bijvoorbeeld het Team High Tech Crime of bij multinationals als Shell veel sneller rijk worden. 

Deze praktijk verandert de laatste jaren echter wel, en dat levert inmiddels frictie op. Waarom zou je nog genoegen nemen met ‘erkenning’ als een miljardenbedrijf zoals Google, Facebook, of Apple beter wordt van jouw ontdekkingen? Steeds vaker vinden hackers dat een bedankje niet genoeg meer is.

Apple was het laatste bedrijf dat daarop insprong. Het programma bood gelijk één van de hoogste beloningen aan van alle bedrijven voor het melden van bugs. Onderzoekers kunnen tot wel 200.000 dollar verdienen met het programma – al zijn minder grote lekken een stuk minder waard.

Verschil in prijs

De prijs van een melding verschilt per bedrijf, maar ook per lek zelf. Daarbij wordt gekeken naar de ernst van het lek, wat je daarmee kunt doen, en hoeveel mensen er potentieel slachtoffer van worden. Ook de uitbetaling is vaak afhankelijk van hoe het lek wordt gepatcht - of juist niet.

Apple looft de hoogste beloning uit: 200.000 dollar

De kwartmiljoen dollar van Apple is bijvoorbeeld de hoogste prijs die het bedrijf betaalt voor een lek, maar dat is alleen voor een exploit waarmee je malafide applicaties kunt installeren. Vind je een lek waarmee je bijvoorbeeld ‘slechts’ malafide code kunt injecteren vanuit de kernel, dan krijg je 50,000 dollar.

De hoogte van de beloning heeft ook te maken met hoeveel mensen mogelijk geraakt worden door de bug. Zo is een lek in Windows meer waard dan een lek in macOS, en een exploit in Chrome meer dan een lek in Firefox. Je moet daarna ook kijken naar hoe makkelijk een lek is uit te buiten. Een lek in Flash is bijvoorbeeld makkelijker te vinden en daarom minder waard. Maar een lek in het zeer goed beveiligde iOS, daar zit wel veel geld in.

Bug bounty prijzen

Ter afronding en om een idee te geven over de bedragen waaraan je kunt denken bij enkele van de bekendste techfirma's, even een kort overzicht van de prijzen die gehanteerd worden.

De (dollar)prijzen verschillen in hoogte, afhankelijk van de ernst van het lek.

Adobe (Flash): 5000 - 30.000
macOS: 20.000 - 50.000
Android: 30.000 - 60.000
Word: 50.000 - 100.000
Windows: 60.000 - 120.000
Firefox: 60.000 - 150.000
Chrome: 80.000 - 200.000

Bij ID.nl zijn we gek op producten voor een mooie prijs of die iets bijzonders te bieden heeft. Een paar keer per week gaan we daarom op zoek naar zulke producten. Niets is zo veranderlijk als het weer; het ene moment schijn de zon en een week later vriest het en ligt er sneeuw. Hoe fijn is het dan als jouw huia automatisch wordt verwarmd op het moment dat het nodig is? Een slimme thermostaat is dan wel handig. Wij zonden vijf slimme startersets met radiatorkraan.

Om je huis wat energiezuiniger te maken is het gebruik van de CV-ketel en de verwarming een goed begin om deze wat beter reguleren. En in plaats van dat je dat zelf helemaal handmatig moet bijhouden, kun je kiezen voor een slimme thermostaat die dat voor je doet. Wij vonden vijf handige startersets met slimme thermostaat en extra apparatuur zoals radiatorkranen waarmee je direct aan de slag kunt.

Netatmo Slimme Thermostaat

Met deze uitgebreide Netatmo-bundel haal je in één keer een complete zoneregeling in huis. De set combineert de iconische Netatmo Slimme Thermostaat met maar liefst drie extra slimme radiatorkranen. Dit is de perfecte oplossing als je niet alleen je woonkamer, maar ook drie andere vertrekken (zoals een werkkamer, badkamer of slaapkamer) individueel wilt verwarmen.

Het design, ontworpen door Philippe Starck, is minimalistisch en tijdloos. De thermostaat zelf is eenvoudig te bedienen en werkt met vrijwel alle CV-ketels (aan/uit). De kracht zit echter in de combinatie met de radiatorkranen: deze meten de temperatuur per kamer en kunnen de radiator dichtdraaien als de gewenste temperatuur bereikt is, zelfs als de thermostaat in de woonkamer nog om warmte vraagt.

Dankzij de slimme Auto-Adapt functie leert het systeem de isolatie van je huis en de buitentemperatuur kennen, zodat het precies weet wanneer de verwarming aan moet om op tijd warm te zijn. Alles is aan te sturen via de gebruiksvriendelijke app of via spraak (Apple HomeKit, Google Assistant en Alexa). Met functies als open-raamdetectie en maandelijkse besparingsoverzichten helpt deze set je actief om energie te besparen zonder in te leveren op comfort.

TP‑Link KE100 KIT

Met deze set van TP‑Link maak je je radiatoren afzonderlijk aanstuurbaar. De doos bevat twee thermostatische radiatorkranen en een hub. Die hub vormt het hart van het systeem: je verbindt hem met je wifi en plaatst de radiatorkranen op de bestaande ventielen. Vervolgens kun je via de Kasa Smart‑app voor iedere ruimte een eigen temperatuur instellen. Dankzij het ingebouwde schema stel je vaste tijdstippen in waarop de radiatoren opwarmen of juist lager worden gezet. De apparaten communiceren draadloos met de hub, waardoor je ook meerdere kamers kunt bedienen.

Je kunt tot wel 32 radiatoren op één hub aansluiten. De set werkt samen met stemassistenten zoals Google Assistant, Amazon Alexa en Siri, zodat je de temperatuur per kamer kunt aanpassen zonder je telefoon erbij te pakken. Er is een vorstbeschermingsmodus die de radiator inschakelt als de temperatuur te laag wordt, handig bij koude winters. Via meegeleverde adapters passen de radiatorkranen op de meeste ventielen. En omdat ze op batterijen werken hoef je geen stroompunt in de buurt te hebben.

Imou TRV1 Kit

Dit starterspakket van Imou is bedoeld voor wie één of meerdere radiatoren los wil regelen en via internet wil bedienen. In de doos zit een thermostatische radiatorkraan en een gateway; de gateway verbindt de kraan met je thuisnetwerk via Zigbee. De kraan meet de temperatuur en stuurt het ventiel nauwkeurig aan tussen 5 °C en 35 °C, met stappen van een halve graad. Je programmeert via de Imou Life‑app een tijdschema of stelt handmatig de gewenste temperatuur in. De gateway heeft een bereik van honderd meter, zodat je de set eventueel met extra kranen kunt uitbreiden tot een maximaal aantal van 32 radiatoren.

Handige functies zijn open‑raamdetectie, antivriesstand en een kinderslot. Wanneer er een raam openstaat schakelt de kraan automatisch lager om energie te besparen. Batterijen leveren de stroom; Imou levert AA‑batterijen en diverse adapters mee. De set werkt samen met Amazon Alexa en Google Assistant zodat je via spraakcommando’s de verwarming aanstuurt. Dankzij de heldere led‑ring op de knop zie je in één oogopslag welke modus actief is. Hierdoor is het systeem geschikt voor wie op een eenvoudige manier per kamer wil verwarmen zonder ingrijpende installatie.

Hombli Smart Radiator Thermostat Starterkit

Hombli biedt een set met twee radiatorthermostaten en een bridge om de knoppen via de Hombli‑app te bedienen. Je plaatst de knoppen op de bestaande ventielen, waarna je met de bridge de verbinding maakt tussen de knoppen en je wifi‑netwerk. Met de app stel je per kamer een weekprogramma in, zodat je bijvoorbeeld ’s avonds in de woonkamer verwarmt en overdag juist in de werkkamer. De thermostaten hebben een energieverbruiksmonitor waarmee je ziet hoeveel warmte elke radiator gebruikt. Er is ook een geofencing‑optie: als je het huis verlaat, gaat de verwarming automatisch lager.

Open‑raamdetectie voorkomt onnodig stoken als er geventileerd wordt. De knoppen communiceren via bluetooth low energy; daardoor gaan de AA‑batterijen volgens Hombli tot anderhalf jaar mee. Je bedient het systeem met de app of via spraakassistenten zoals Google Assistant, Amazon Alexa en Siri. Omdat de bridge meerdere knoppen kan koppelen, kun je later uitbreiden naar extra radiatoren. Via de app kun je ook alle gekoppelde knoppen gelijktijdig aanpassen, waardoor het systeem geschikt is voor blok‑ of stadsverwarming.

Tado Slimme Radiatorknop Starterskit V3+

Deze starterskit van tado° is bedoeld voor woningen waar elke radiator apart geregeld moet worden zonder centrale thermostaat. De verpakking bevat één slimme radiatorkraan en een internetbridge. Je vervangt de bestaande knop door de slimme kraan en koppelt de bridge aan je router. Via de tado°‑app regel je de temperatuur per kamer en stel je uitgebreide programma’s in, zoals een week- of weekendprogramma. De app gebruikt geolocatie, open‑raamdetectie en weersinformatie om de verwarming automatisch aan te passen.

De set werkt met spraakbesturing via Amazon Alexa, Apple HomeKit en Google Assistant. Dankzij de internetbridge kun je extra radiatorkranen toevoegen om meer kamers aan te sturen. tado° adviseert om per radiator een slimme knop te plaatsen voor optimale werking. Volgens de fabrikant kun je tot 31 % energie besparen doordat de app de verwarming afstemt op je aanwezigheid. Batterijen zorgen voor de stroomvoorziening. Voor geavanceerde functies zoals automatische geofencing heb je een optioneel abonnement nodig, maar de basisbediening via de app blijft beschikbaar zonder extra kosten.

Amazon werkt aan een realityshow rondom de Fallout-franchise waarin deelnemers moeten zien te overleven in een schuilkelder.

Er gingen onlangs al geruchten over de realityshow die naar Amazon Prime Video moet komen, maar nu is de show officieel goedgekeurd en wordt er zelfs naar deelnemers gezocht. In het spelprogramma moeten spelers in een schuilkelder leven en meedoen aan een reeks competitieve spellen die de zeven kerneigenschappen uit de Fallout-reeks uitlichten: kracht, perceptie, charisma, intelligentie, uithoudingsvermogen, geluk en wendbaarheid.

Volgens de beschrijving "is het een spel van machtspatronen, populariteit en sociale strategieën waarbij uiteindelijk een gigantische geldprijs gewonnen kan worden". Verdere concrete detail zijn er nog niet, en het is ook niet duidelijk vanaf wanneer de realityshow op Amazon Prime Video te zien zal zijn.

Gebaseerd op de games

Amazon heeft de smaak goed te pakken wat betreft Fallout: in 2024 begon de fictieve, gelijknamige serie al op de streamingdienst, gebaseerd op de games van Bethesda. Met acteurs als Ella Purnell, Walton Goggins en Kyle MacLachlan wordt een alternatieve geschiedenis (en toekomst) geschetst waarbij de Verenigde Staten door een nucleaire winter geteisterd worden. Diverse samenlevingen houden het jarenlang vol in schuilkelders, en wanneer ze daar weer uit durven te komen, maken ze kennis met een aardoppervlakte die voorgoed veranderd is.

De serie bleek een grote hit en het eerste seizoen behaalde meer dan honderd miljoen kijkers. Het tweede seizoen is eind vorig jaar begonnen – wekelijks wordt er een nieuwe aflevering op Amazon Prime Video getoond. Het ziet er naar uit dat Amazon nu wil inspelen op dit succes door ook aan een realityshow binnen deze franchise te werken.