.jpg)
.jpg)
취약점의 심각성에 따라 최대 상금 더 높아져...1만 5천불 넘길 수도
출시 전 윈도우만 해당돼...보다 완전한 윈도우 내놓기 위한 프로그램
[보안뉴스 문가용 기자] 마이크로소프트가 윈도우 인사이더 프리뷰(Windows Insider Preview)의 버그바운티 프로그램을 개편했다. 버그 제출 항목을 최신화시키고 지불 방식과 종목을 변경시켰다.
마이크로소프트는 윈도우 인사이더 프리뷰 버그바운티를 2017년 7월 26일부터 실시했다. 이 프로그램의 목적은 새롭게 출시될 예정인 윈도우에서 취약점을 미리 찾아내어, 보다 완벽한 버전을 대중들에게 공개하는 것이다.
여태까지 버그 하나 당 약 500 달러에서 1만 5천 달러까지 상금으로 주어졌다. 하지만 마이크로소프트는 오늘 발표를 통해 버그의 심각성에 따라 1만 5천 달러 이상의 상금을 줄 계획임을 밝혔다.
그 외 함께 발표된 내용을 상세히 공개하면 다음과 같다.
1) 원격 코드 취약점은 최소 500 달러에서 최대 7500 달러.
2) 하지만 위험도가 매우 높은 원격 코드 취약점의 경우는 최대 1만 5천 달러까지 가능.
3) 권한 상승 취약점은 최소 500 달러에서 최대 5000 달러.
4) 하지만 위험도가 매우 높은 권한 상승 취약점은 최대 1만 달러까지도 가능.
버그에 관한 내용을 마이크로소프트에 제출할 때 특정 항목들을 충족해야만 상금을 제대로 받을 수 있다.
1) 처음 발견된 취약점이어야 한다.
2) 치명적이거나 높은 수준의 위험성을 가지고 있어야 한다.
3) 윈도우 인사이더 프리뷰 프로그램 내에서 실험되는 버전에서도 발견되는 버그여야 한다.
4) 공격 방식과 악영향도 보고서 내에 설명해야 한다.
또한 마이크로소프트는 “엔지니어들의 원활한 패치 개발을 위해 이해하기 쉽게 작성된 보고서가 선호될 것”이라고도 발표했다. “엔지니어가 따로 연구를 더 진행하지 않아도 될 정도로 버그에 대한 모든 설명이 되어 있다면 상금액이 더 커질 가능성이 높습니다.”
마이크로소프트는 여러 서비스 및 제품에 대한 버그바운티를 동시에 진행하고 있다. 이번 발표된 내용은 윈도우 스토어(Windows Store)나 윈도우용 앱, 펌웨어, 서드파티 드라이버 및 소프트웨어와는 상관없는 것으로, 윈도우 인사이더 프리뷰를 통해 실험되고 있는 윈도우 버전만 해당된다.
“사용자가 어지간해서는 취하지 않을 행동이 전제되어야만 익스플로잇이 가능한 취약점도 상금을 받지 못합니다. 윈도우를 다운그레이드 해야만 익스플로잇이 가능하게 되는 취약점도 마찬가지입니다.”
[국제부 문가용 기자(globoan@boannews.com)]
출시 전 윈도우만 해당돼...보다 완전한 윈도우 내놓기 위한 프로그램
[보안뉴스 문가용 기자] 마이크로소프트가 윈도우 인사이더 프리뷰(Windows Insider Preview)의 버그바운티 프로그램을 개편했다. 버그 제출 항목을 최신화시키고 지불 방식과 종목을 변경시켰다.
[이미지 = iclickart]
마이크로소프트는 윈도우 인사이더 프리뷰 버그바운티를 2017년 7월 26일부터 실시했다. 이 프로그램의 목적은 새롭게 출시될 예정인 윈도우에서 취약점을 미리 찾아내어, 보다 완벽한 버전을 대중들에게 공개하는 것이다.
여태까지 버그 하나 당 약 500 달러에서 1만 5천 달러까지 상금으로 주어졌다. 하지만 마이크로소프트는 오늘 발표를 통해 버그의 심각성에 따라 1만 5천 달러 이상의 상금을 줄 계획임을 밝혔다.
그 외 함께 발표된 내용을 상세히 공개하면 다음과 같다.
1) 원격 코드 취약점은 최소 500 달러에서 최대 7500 달러.
2) 하지만 위험도가 매우 높은 원격 코드 취약점의 경우는 최대 1만 5천 달러까지 가능.
3) 권한 상승 취약점은 최소 500 달러에서 최대 5000 달러.
4) 하지만 위험도가 매우 높은 권한 상승 취약점은 최대 1만 달러까지도 가능.
버그에 관한 내용을 마이크로소프트에 제출할 때 특정 항목들을 충족해야만 상금을 제대로 받을 수 있다.
1) 처음 발견된 취약점이어야 한다.
2) 치명적이거나 높은 수준의 위험성을 가지고 있어야 한다.
3) 윈도우 인사이더 프리뷰 프로그램 내에서 실험되는 버전에서도 발견되는 버그여야 한다.
4) 공격 방식과 악영향도 보고서 내에 설명해야 한다.
또한 마이크로소프트는 “엔지니어들의 원활한 패치 개발을 위해 이해하기 쉽게 작성된 보고서가 선호될 것”이라고도 발표했다. “엔지니어가 따로 연구를 더 진행하지 않아도 될 정도로 버그에 대한 모든 설명이 되어 있다면 상금액이 더 커질 가능성이 높습니다.”
마이크로소프트는 여러 서비스 및 제품에 대한 버그바운티를 동시에 진행하고 있다. 이번 발표된 내용은 윈도우 스토어(Windows Store)나 윈도우용 앱, 펌웨어, 서드파티 드라이버 및 소프트웨어와는 상관없는 것으로, 윈도우 인사이더 프리뷰를 통해 실험되고 있는 윈도우 버전만 해당된다.
“사용자가 어지간해서는 취하지 않을 행동이 전제되어야만 익스플로잇이 가능한 취약점도 상금을 받지 못합니다. 윈도우를 다운그레이드 해야만 익스플로잇이 가능하게 되는 취약점도 마찬가지입니다.”
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
