Signaler une faille dans Windows 10 peut rapporter 250 000 dollars
Microsoft lance un programme Bounty associé à Windows 10. Les récompenses peuvent atteindre 250 000 dollars pour les vulnérabilités critiques dans Hyper-V.
Signaler des failles dans Windows 10 peut désormais rapporter jusqu’à 250 000 dollars.
Microsoft a fixé ce plafond dans le cadre d’un programme Bounty ouvert ce 26 juillet 2017.
L’initiative s’inscrit dans la continuité de la « chasse aux bugs » associée à Windows 8.1 lorsque celui-ci était encore en développement.
Le chercheur James Forshaw, connu pour ses travaux sur Internet Explorer, s’était distingué en empochant la récompense maximale de 100 000 dollars pour une vulnérabilité critique… et une technique d’exploitation dite, à l’époque, « réellement novatrice ».
Pour ce qui est de Windows 10, Microsoft pourra sortir le porte-monnaie pour toute brèche « importante » ou « critique » susceptible d’occasionner l’exécution distante de code, une élévation de privilèges ou une atteinte à la vie privée.
Ne pourront toutefois prétendre aux 250 000 dollars que les chercheurs qui repéreront des vulnérabilités critiques dans Hyper-V, également sur Windows Server 2012 et 2012 R2.
Outre l’hyperviseur, pour lequel le ticket minimum sera de 5 000 dollars, deux autres projets font l’objet d’une attention particulière : le navigateur Edge et son mode ultra-sécurisé Windows Defender Application Guard.
Les autres bugs repérés dans Windows 10 – y compris dans l’Insider Preview – seront récompensés dans la fourchette de 500 à 15 000 dollars, avec quelques règles particulières. Entre autres, un plafonnement à 10 % maximum du montant prévu pour les chercheurs qui découvriraient une faille déjà trouvée par les équipes de Microsoft, mais non dévoilée.
D’autres programmes Bounty sont en cours chez l’éditeur.
Certains n’ont pas de date de fin, à l’image des appels aux techniques d’exploitation « originales » contre des protections intégrées à Windows et aux rapports sur les failles liées à certains services Azure ou Office 365. D’autres sont limités dans le temps, à l’instar de celui axé sur l’exécution de code à distance via Edge (début le 4 août 2016 ; fin le 15 mai 2017).