Facebook Mở Rộng Chương Trình Thưởng Lỗi để Hỗ Trợ Sửa Lỗi Ứng Dụng Bên Thứ Ba

Facebook là một trong những người ủng hộ khá sớm của những chương trình thưởng lỗi, đã trả hơn 6 triệu đô la cho các nhà nghiên cứu an ninh đã phát hiện ra các lỗ hổng trong nền tảng của mình kể từ khi chương trình này được khởi động vào năm 2011. Nhưng khi mạng xã hội này đối mặt với một loạt các tranh cãi lớn và ảnh hưởng lớn, chương trình thưởng lỗi của nó ngày càng trở thành cơ hội để Facebook thể hiện sự chín chắn. Xu hướng đó tiếp tục vào thứ Hai, với sự mở rộng mới nhất của công ty.

Facebook sẽ bây giờ chấp nhận báo cáo không chỉ về các lỗ hổng trong các sản phẩm của mình, mà còn trong các ứng dụng và dịch vụ bên thứ ba kết nối với tài khoản người dùng Facebook. Tương tác bên thứ ba tạo ra rủi ro cho người dùng trên mạng xã hội, vì Facebook chỉ duyệt xét mà không phát triển các ứng dụng bên ngoài và không thể đảm bảo tính toàn vẹn của chúng một cách cặn kẽ như nó có thể với nền tảng của mình. Người dùng cũng chịu trách nhiệm quản lý quyền của các ứng dụng bên thứ ba, điều này có thể là một quá trình phức tạp và không rõ ràng.

Sự mở rộng thưởng lỗi sẽ tập trung cụ thể vào các lỗi bên thứ ba liên quan đến việc tiết lộ "token truy cập người dùng," các thông tin chứng thực cho phép ứng dụng tương tác với tài khoản Facebook và có thể bị lợi dụng để đạt được các loại quyền truy cập không phù hợp. Ví dụ, các nhà nghiên cứu đã phát hiện ra các dịch vụ câu hỏi tính cách và các thành phần JavaScript trong các ứng dụng, theo dõi dữ liệu người dùng một cách xâm phạm hoặc lấy cắp thông tin.

"Điều này là một phần của nỗ lực liên tục của chúng tôi để cải thiện an ninh và quyền riêng tư cho những người sử dụng Facebook," Dan Gurfinkel, quản lý kỹ thuật an ninh tại Facebook, viết trong một bài đăng trên blog thông báo về ưu đãi vào thứ Hai. "Chúng tôi muốn nhà nghiên cứu có một kênh rõ ràng để báo cáo những vấn đề quan trọng này khi họ phát hiện ra chúng, và chúng tôi muốn đóng góp của mình để bảo vệ thông tin của mọi người, ngay cả khi nguồn gốc của lỗi không nằm trong sự kiểm soát trực tiếp của chúng tôi."

Trong tháng 4, khi vụ lạm dụng dữ liệu Cambridge Analytica leo thang, Facebook đã thêm một thành phần lạm dụng dữ liệu vào chương trình thưởng lỗi của mình, mở cửa chương trình để đệ trình liên quan đến xử lý dữ liệu sai lầm của các nhà phát triển. Bằng cách bao gồm cả ứng dụng bên thứ ba, Facebook thể hiện sự nhận thức về những rủi ro bảo mật và quyền riêng tư bổ sung có thể xuất phát từ tích hợp dịch vụ bên ngoại. Một ứng dụng không quản lý mã thông báo truy cập đúng cách có thể đạt được truy cập không an toàn, hoặc thậm chí bị lợi dụng lặng lẽ bởi hacker như một cánh cửa phụ vào tài khoản người dùng Facebook.

Facebook cho biết họ chỉ chấp nhận đệ trình khi một nhà nghiên cứu phát hiện lỗ hổng bằng cách sử dụng bị động một dịch vụ bên thứ ba, và nhận thấy nó gửi dữ liệu một cách không đúng cách đến hoặc từ thiết bị của họ. "Bạn không được phép thao tác bất kỳ yêu cầu nào được gửi đến ứng dụng hoặc trang web từ thiết bị của bạn," Gurfinkel viết. Điều này có nghĩa là một số loại lỗ hổng phổ biến—và có thể nghiêm trọng—như bỏ qua xác nhận và lỗi chuyển hướng chưa được kiểm tra mà hacker có thể sử dụng để vượt qua yêu cầu xác thực, đều không thuộc phạm vi.

Các công ty thông thường đặt giới hạn cho các chương trình thưởng lỗi như một biện pháp an toàn và để tránh khuyến khích hành vi bất hợp pháp hoặc độc hại. Nhưng khi được hỏi về cách họ sẽ xử lý các đệ trình được phát hiện thông qua các phương tiện xâm phạm hơn, Gurfinkel nói rằng Facebook sẽ xử lý tình huống này từng trường hợp một. "Nếu ứng dụng bên thứ ba cho phép kiểm thử chủ động thông qua chương trình thưởng lỗi của nhà phát triển hoặc một thỏa thuận khác, nhà nghiên cứu có thể báo cáo lỗ hổng cho công ty đó," Gurfinkel nói. "Trách nhiệm của nhà nghiên cứu là đảm bảo rằng các thử nghiệm của họ không vi phạm các điều khoản của ứng dụng hoặc luật pháp áp dụng."

Facebook cho biết rằng như một phần của sự mở rộng thưởng lỗi này, họ sẽ đảm nhận trách nhiệm liên lạc với các nhà phát triển bên thứ ba để giúp giải quyết các lỗi của họ. "Nếu chúng tôi xác nhận rằng token truy cập đang bị rò rỉ, chúng tôi sẽ làm việc với nhà phát triển ứng dụng hoặc trang web để sửa mã của họ," Gurfinkel viết. "Các ứng dụng không tuân theo yêu cầu của chúng tôi ngay lập tức sẽ bị đình chỉ khỏi nền tảng của chúng tôi cho đến khi vấn đề được giải quyết và một đánh giá an ninh đã được tiến hành. Chúng tôi cũng sẽ tự động thu hồi token truy cập có thể đã bị đe dọa để ngăn chặn sự lạm dụng tiềm ẩn, và thông báo cho những người chúng tôi tin rằng họ có thể bị ảnh hưởng, nếu phù hợp."

Facebook sẽ trao thưởng tối thiểu $500 cho những lỗi được chấp nhận, và nói rằng không có giới hạn tối đa cho thưởng lớn nhất, số tiền được tính dựa trên tầm quan trọng và nghiêm trọng của lỗi. Trong năm 2017, chương trình thưởng lỗi của nền tảng này trả một trung bình $1,900 cho mỗi lỗi, với một số thưởng cá nhân lên đến hàng ngàn đô la.

Facebook khẳng định rằng sự mở rộng này không phải là một cách để giảm trách nhiệm kiểm tra các ứng dụng bên thứ ba của chính mình, mà là một cách để khuyến khích và mở rộng phản hồi từ cộng đồng. "Giống như bất kỳ chương trình thưởng lỗi nào, đây là một cách bổ sung để thưởng cho những nhà nghiên cứu về công việc an ninh quan trọng," Gurfinkel nói với MYTOUR. "Đây không phải là một sự thay thế cho bất kỳ quy trình nội bộ nào tập trung vào bảo vệ thông tin của mọi người hoặc giảm tần suất của các lỗ hổng."

Người dùng Facebook đã liên tục phải đối mặt với sự tiếp xúc lặp đi lặp lại từ các ứng dụng bên thứ ba lạc lõng hoặc lỗi. Sự mở rộng thưởng lỗi mới nhất này có lẽ sẽ là một sự công nhận chào đón, nếu cũng muộn màng, về một vấn đề mà cộng đồng quyền riêng tư và an ninh đã cảnh báo từ nhiều năm nay.

• Bên trong hành trình đến Cực Bắc của toàn bộ phụ nữ
• Các startup rủ nhau biến máu trẻ thành một bí ngô của tuổi trẻ
• Muốn kiếm tiền từ video? Các YouTuber chia sẻ bí mật của họ
• Sự áp đặt giáo dục của những người thông thường
• Google muốn tiêu diệt URL
• Đang tìm kiếm thêm? Đăng ký nhận bản tin hàng ngày của chúng tôi và không bao giờ bỏ lỡ những câu chuyện mới nhất và tuyệt vời nhất của chúng tôi