ОФФ.В России начала работать биржа по продаже «брешей» в ПО.
 

[url]http://www.rbc.ru/technology_and_media/01/06/2016/574e4cda9a79474c27fcfd24?from=main[/url]

[quote]Информировать производителей ПО об уязвимостях, по словам Шорохова, Expocod не собирается. Он также особо подчеркивает, что поиск и разглашение уязвимостей в софте не являются противозаконными.[/quote]Мне до этого момента казалось, что подобное распространение информации может расцениваться как пособничество.

А сообщение о том, что продаваемый замок можно открыть зубочисткой - тоже "пособничество"?
Может, прежде чем ляпать терминами, стоит прочитать определение их значения?

хехе формула тринитротолуола брешь в химии )))

Идиотизм....

Гугл (и не только, вообще любые серьёзные конторы) платит долларами за свои бреши...

Зачем выходить на биржу в каком-то непонятном Гондурасе, предлагать купить дырку в Гугле, если эту же дырку можно продать самому Гуглу дорого?

(1) А инструкцию по изготовлению бомбы тоже теперь можно выложить в инет, да?

(1) Неисключено.
Я больше скажу, анализ ПО на уязвимость может быть незаконным.

3-DeiMos > А подумать? В течении хотя бы 20 секунд?

Не все уязвимости можно можно ликвидировать оперативно. Не все уязвимости можно ликвидировать. Не все уязвимости надо ликвидировать - они еще и полезные возможности.

P.S. Производители антивирусов (и прочих анти-) так же используют "уязвимости".

(6) Это как производители антивирусов используют уязвимости?

4-iMoxa > Т.е., определение ты искать не хочешь. Ты хочешь что-то, тебе не нравящее, просто обозвать нехорошими словами, и считать это доказательством...
Мизулина с Никоновым, и прочими леонтиевыми тебе радостно аплодируют.

5-iMoxa > А нельзя критику поиска уязвимости приравнять к пособничесту компьютерным мошенникам, а?

6-VZ > Я тебе [b][u]именно [/u][/b]об этом и говорю.

Зачем на бирже что-то светить, если вендор платит в 100 раз больше, чем ты выручишь на бирже?

(8)
1. Пока точное определение не нашел.
2. Нет. Я тебе больше скажу, поиск уязвимостей незаконен. Сканирование портов, дебагинг ПО, декомпиляция часто незаконны. Не всегда, но часто. Зависит от лицензионного соглашения и др.документов владельца ПО, хоста.

Ладно, была бы биржа солидная, страховки там от Ллойда, поручительства солидных банков, все дела...
Можно было бы подумать...

Но тут какой-то никому не известный гондурас всемирную, мля, биржу открыл...
Смешно, право слово...

Поиск уязвимостей, если не ошибаюсь, может расцениваться как подготовка к атаке или другим незаконным действиям.

торговля воздухом в особо крупных размерах ))))
ЗЫ кстати есть - кренделя торгуют консервированным воздухом )))

(11) Этой хренью уже давно торгуют на всяких нелегальных хакерских площадках. Про то статьи читал еще лет 15 назад.

10-iMoxa > Т.е., ты желаешь осуждать, опираясь на "оскорбление своих чувств"? Обосновывать себя не утруждаешь. "[em]Как грянет гром, весь ваш закон становится напрасным. Мы будем слушаться мужей, и будет всё прекрасно[/em]"

11-DeiMos > Эти "никому не известные годурасы", представь себе, имели наглость создать самолет. Не спрашивая разрешения.
Рогозина на них нет, подлецов...

такое «брешей»? я LiteCoins уже в децве отлюбил

[url]http://biznes-prost.ru/konservirovannyj-vozdux.html[/url]
торговля воздухом
ЗЫ нада пендосам идею подкинуть - торговать чем нить ишшо , хотя мож и торгуют уже - они ж любят шутки ниже спины

(15) Я просто давно не касался этой темы, но помню, что багоискателей и распространителей информации о багах за хобот брали уже более 10 лет назад. Законы и указы не помню - искать надо.

[url]http://www.securitylab.ru/opinion/212047.php[/url]

Вопрос N4 адресован к провайдерам: Как вы реагируете на жалобы на сканирование портов? Оговариваются ли последствия подобных инцидентов при заключении договора с вашими клиентами?
Zenon N.S.P., [url]www.zenon.net:[/url]
Общий ответ на Ваш вопрос таков: подобные действия запрещены в пункте 6
Приложения 2 к Договору с пользователем:
[url]http://www.zenon.net/cgi/go?0011[/url]
================================
УСЛОВИЯ ПРЕДОСТАВЛЕНИЯ УСЛУГ
...
6. АБОНЕНТУ запрещается:
Осуществлять попытки несанкционированного доступа к ресурсам ПРОВАЙДЕРА
и к другим системам, доступным через сеть Интернет.

В лицензии 1С доступ к базе не средствами 1С и дебагинг кода запрещены.

Если не ошибаюсь MS не разрешает декомпиляцию и дебагинг своего кода в лицензионном соглашении.

А в вэб-клиенте или тонком - много брешей?

Документы не читал, но на вскидку не понимаю - как можно продать то, чего на момент продажи не существует? Ведь любую уязвимость еще надо доказать и показать

(25) Тут все решается на основе авторитетности ресурса и доверия к автору в первую очередь. Плюс официальное оформление сделки дает надежду, что совсем грубые серийные кидки будут маловероятны.
Собственно так же страшно было перечислять деньги в столицу в 90-е за товар. Был риск его не получить, а деньги потерять совсем или на долгий срок.

Разводилово для лохов какое-то.
Начиная с того, что в коде страницы баг (Недопустимый вызываемый объект), обещанные 100 тыс.
нигде в прайсе не объявлены и, наконец, общий смысл явно тянет на аферу:
- какой смысл продавать "брешь" какому-то мутному посреднику один раз, если выгоднее продать ее всем, кто может заплатить?
- какие гарантии порядочности может дать пользователям росфинмониторинг? т.е. нет никаких гарантий, что на все присланные баги не будет стандартный ответ "уже известен",
- какие гарантии безопасности пользователям может дать росфинмониторинг - оборжаться просто,
- никакой биржи не существует - биржа предполагает торги, здесь предлагается просто скупка без торга ...

(27) В этом вся фишка. Пока ты в перспективе интересен, тебе платят сейчас. Перестал быть перспективным - могут кинуть по текущей сделке.
Все как в 90-е.