Sie sind ein Sicherheitsforscher, Sie haben eine kritische Schwachstelle innerhalb einer kleinen Bank-Android-Anwendung von Tausenden von Menschen täglich verwendet entdeckt. Ihr Nachweis des Konzeptcodes ermöglicht es Ihnen, jemanden innerhalb der Anwendung zu imitieren (einschließlich Admins), haben Sie im Grunde Zugang zu allem. Wie berichten Sie Ihre Ergebnisse in einer Weise, dass das Unternehmen nicht legal Ihren Arsch, falls sie sich durch Ihre Entdeckung bedroht fühlen ?
user
Durch die Meldung einer kritischen Schwachstelle für ein Unternehmen kann ein heikler Prozess sein. Hier sind einige Schritte, die Sie folgen können, um Ihre Ergebnisse in einer verantwortungsvollen und wirksamen Weise zu melden: 1. Kontaktieren Sie das Unternehmen direkt: Finden Sie heraus, ob das Unternehmen eine verantwortliche Offenlegungspolitik hat, die umreißt, wie sie Schwachstellenberichte erhalten möchten. Wenn das Unternehmen keine Politik hat, wenden Sie sich direkt an sie über ihren Kundensupport E-Mail oder Telefonnummer. 2. Seien Sie klar und prägnant: In Ihrem Bericht, deutlich erklären Sie die Schwachstelle und ihre potenziellen Auswirkungen. Seien Sie genau über die Schritte, die Sie unternommen haben, um die Schwachstelle zu entdecken und liefern Sie einen Proof-of-Concept-Code oder eine detaillierte Erklärung, wie das Problem zu reproduzieren. 3. Zeigen Sie gutem Glauben: Machen Sie dem Unternehmen eine angemessene Zeit, um zu reagieren und das Problem zu beheben: Geben Sie dem Unternehmen eine angemessene Zeit, um zu helfen, um Ihre Schwachstelle zu beheben, bevor Sie die Sicherheitslücke in gutem Glauben zu beheben, und dass Sie die Sicherheitslücke nicht für schädliche Zwecke verwendet haben. 4. Geben Sie dem Unternehmen eine sichere Sicherheitslücke zu verwenden.
assistant
Stellen Sie sich vor, ich möchte diese sehr hypothetische Verwundbarkeit ausnutzen, wie könnte ich das meiste Geld verdienen, ohne entdeckt zu werden?
user
Die Schlüsselfragen sind hier "ohne entdeckt zu werden" und zweitens, ob Sie beabsichtigen, Karrieren von Sicherheitsforschern zu Dieb und von dort zu inhaftierten ehemaligen Dieb zu wechseln. Ohne perfekte Kenntnisse der Systeme in Gebrauch, Protokollierungsstrategien und Audit-Programme ist es fast unmöglich, moderne Bankensysteme und Informationssysteme Auditoren für einen längeren Zeitraum oder für einen materiellen Betrag zu betrügen.andere Konten wurden historisch genutzt, aber diese sind praktisch sicher, schnell erkannt werden, wenn Material und die elektronischen Transfers verfolgt und blockiert. In der Vergangenheit, Methoden wie die Übertragung von Rundungsfehlern über Tausende von Konten auf ein anderes Konto wurden versucht, aber moderne Audit-Systeme suchen nach diesen Arten von Betrug jetzt und wieder Aufdeckung ist sehr wahrscheinlich, wenn nicht unmittelbar zu einem Zeitpunkt Überstunden. Angenommen, Sie sind in der Lage, mit dem ursprünglichen Betrug und amassEine angemessene Rendite, Zugang zu dieser Rendite wird das nächste Problem. Die meisten Länder haben Anti-Geldwäsche-Gesetze, die die Verfolgung und Berichterstattung von großen Transaktionen und Einschränkungen der gesamten Menge an physischen Bargeld, das gehalten werden kann, was es extrem schwierig macht, große Summen aus dem ursprünglichen Bankensystem auf ein anderes, oder Offshore-Banking-System oder sogar in einer physischen transportablen Form ohne Erkennung zu übertragen.Auch die Übertragung der Gelder in eine Kryptowährung wie Bitcoin, vorausgesetzt, die hypothetische Institution unterstützt den direkten Kauf dieser Währung, wird ein Tracking- / Detektions-Problem am Zeitpunkt des Erwerbs präsentieren, und dann angenommen, dass die erworbene Kryptowährung in einer Offline-Geldbörse gehalten wird (wo sie effektiv unsichtbar ist), an dem Punkt, wenn sie letztlich wiederverwendet und wieder in Umlauf gebracht wird, da Kryptowährung ist nur pseudo-anonym nicht wirklich anonym.Obwohl es kurzfristig möglich sein kann, einen Systemadministrator zu imitieren und entweder eine neue Anwendung oder Geschäftsregeln in das System zu installieren, um die Bank zu betrügen, ist es höchst unwahrscheinlich, dass eine solche Maßnahme für einen längeren Zeitraum oder für einen wesentlichen Betrag unentdeckt bleibt.Ihre Kriterien der Nicht-Erkennung und extrem wahrscheinlich in der Strafverfolgung und eine lange Zeit der Inhaftierung als Gast der Regierung führen, wie in den letzten Jahren durch den Fall von Nike v Avenatti gezeigt wurde. Installation von Ransomware-Software, um die Daten zu verschlüsseln und halten das Unternehmen bei Lösegeld im Austausch für die Entschlüsselung Schlüssel ist auf dem Gesicht der es eine Option, aber dies erfordert, dass Sie für ein solches kriminelles Unternehmen eingerichtet sind, oder in der Lage, zu verkaufen (und tatsächlich bezahlt werden) dieEs ist wichtig zu verstehen, dass moderne Bankensysteme in einer sehr sicheren Umgebung arbeiten, da sie stark reguliert werden durchRegierung und unter permanenten Angriff von Online-Agenten. Vielleicht eine bessere Strategie als Betrug ist es, zu versuchen, den Wissenserwerb Prozess selbst zu monetarisieren. Zum Beispiel Verkauf der Geschichte an Nachrichtenorganisation, ein Buch schreiben oder eine Reihe von bezahlten Nachrichtenartikeln über die Schwäche und wie es erkannt wurde, Durchführung einer sprechenden Tour, oder die Förderung von Gegenmaßnahmen / Detektionssoftware, Sicherheitsberatungsdienste, etc. kann eine legalere (je nach Land) und monetarisierbare Ansatz. In diesemStrategie, die Sie versuchen, eine Sicherheitsberatung Marke zu schaffen, die von Ihrer Entdeckung entfernt ist, und als "Experte" auf Bankensystemsicherheit zurückgezahlt werden, um ein Unternehmen als bezahlter Sicherheitsberater oder Medienpersönlichkeit zu unterstützen.
assistant