-Kritiske sårbarheter på auksjon!

Transkript

1 WabiSabiLabi Hacker-børs Researchers Reward Program (RRP) -Kritiske sårbarheter på auksjon!

2 Roberto Preatoni Grunnlegger av Zone-H (defacement arkivet) & WabiSabiLabi R.Preatoni, Director of Strategy, WabiSabiLabi Inc.

3 Arrestert for hacking! Arrestert på vei til Norge i går Anklaget for spionasje Ikke relatert til WabiSabiLabi! Tiger Team medlemmer mistenkt Sikkerhetstest for Telecom Italia

4 Future Combat System (FCS)

5 Zone-H The Internet Defacement Archive wall of shame? dokumenterte angrep pr 6/11

6 Nøytral zone Gjennom zone-h har grunnleggerne klart å vise nøytralitet Man er ikke FOR hacking..man er heller ikke MOT Økonomi Basert på frivilling arbeid Salg av informasjon (statististisk info til CERTs f.eks) Risiko: for kommersiell, fare for å miste interesse i hackersamfunnet

7 Markedet for Security Research Store aktører (selger produkt) Microsoft, Symantec, McAfee, TippingPoint, Websense, osv Mindre, spesialiserte aktører (selger tjeneste) eeye, COSEINC, isec, osv. Informasjonssamlere (selger informasjon) SecurityFocus, Secunia, Andre (Ukjente) uvinc., eliteb0y, h4x0r

8 Penger! Flere av aktørene i vil gjerne kapitalisere på sine funn Bruker funnene til egne produkter Selger sårbarheter til 3.dje part f.eks. Zerodayinitiative og idefence Vanligvis lite lønnsomt å jobbe for ZDI Platinum: 25% automatic monetary bonus on all vulnerability submissions over the next calendar year 200% ZDI Reward points multiplier on all vulnerability submissions over the next calendar year One-time bonus of $20,000 Paid Travel and Registration to attend DEFCON, BlackHat Conferences, and BlackHat Training in Las Vegas

9 Hvis ingen er villig å betale Opplyser produsenten direkte ref. 30-dagers regelen Jeg har funnet et sikkerhetshull...om 30 dager forteller jeg resten av verden om det. Vil minimum ha credit for arbeidet som er lagt ned

10

11 WabiSabiLabi Japansk katakana: Wabi - Sabi Syn på verden basert på alt er i evig endring Ingenting varer Ingenting er ferdig Ingenting er perfekt WSLabi s idealisme omkring IT sikkerhet er basert på samme

12 1. (0.9) versjon april 2007

13 WSLabi s etiske fundament Måten sårbarheter blir behandlet på er urettferdig Researchers: jobben de gjør er endel av sikkerhetsmarkedet Ergo: burde vært drevet av markedet -forsøker å sikre seg mot anonyme kjøpere -bekymret for at sårbarheter skal havne i feil hender -avslører ikke informasjon om kjøper eller selger til 3dje part -deltar ikke i markedet direkte (opptrer kun som megler) Lansert 3.juli 2007

14 Auksjonen

15 Eksklusivt tilbud

16 Registrering -Submit - NDA ( intellectual property) - Send a detailed analysis - Must be reproduced in laboratory -Send back a contract and discuss the starting price - Return signed contract - We put the Security Research on our site for sale. - Once it has been sold we take care about cashing - Money transferred to verified personal bank account Nye sårbarheter gjennomgår streng validering Kontroll av ekthet Kontroll av selger ( prospective researchers will be thoroughly scrutinized )

17 Markedsplassen Traditional auction Pretty much the same a-la-ebay! The best bidder wins the auction. Each auction has a starting price, threshold for minimum bids and a Time To Live. In traditional auctions, the same item might be listed multiple times over the time, but you are never sure if the current auction will be the last one. Dutch auction The same as the traditional auction, but with more than one winner. The amount of winners is set differently from auctioned item to auctioned item. Buy now! The auction might have the "Buy now!" option, allowing the bidders to purchase the item immediately, without participating in the auction but at a higher price. Buy exclusively The option "Buy exclusively" when enabled will allow one buyer to purchase the item and to close the auction being the only winner and the exclusive owner of the item. Items sold under the "Buy exclusively" option, cannot be auctioned multiple times. Fra wslabi.com faq

18 Status siden 3.juli: > 150 sårbarheter har blitt omsatt > 1000 selgere Priser fra 800 til kroner Over besøkende

19 Logiske spørsmål Er dette etisk forsvarlig? Hvilken betydning vil dette ha for IT sikkerhet? Er vi mer eller mindre bekymret for hvem som kan sitte på informasjon som kan være kritisk for resten av verden? Det som er sikkert: Watchcom vil fortsette å følge dette på nært hold og som vi alltid har gjort: dele informasjon med de rundt oss!

20 Takk for oppmerksomheten!