Chaque profession ou compétence peut être exploitée pour le bien ou pour le mal. La même chose avec les hackers, et avant de penser qu'un hacker est une mauvaise personne, je tiens à vous rappeler qu'il y a une différence entre un hacker et un hacker Comme nous l'avons déjà parlé Et que le pirate est celui qui vole des programmes, des sites Web, etc. Par exemple, si vous possédez une entreprise et que vous souhaitez vous assurer que votre système protège vos données contre le piratage, vous utilisez un pirate informatique pour révéler les vulnérabilités du système à votre place, puis vous les corrigez. Et de nombreuses grandes entreprises, comme Google et Facebook, offrent des sommes importantes aux pirates s'ils découvrent des failles dans leurs systèmes et les en informent.

Maintenant que nous savons que le pirate informatique n'est qu'un développeur professionnel utilisant ses compétences pour le bénéfice des autres, comment cette connaissance peut-elle être utilisée pour le mal? Eh bien, laissez-moi vous dire l'autre mauvais côté que certains hackers professionnels peuvent prendre, ce qui peut générer des dizaines de milliers de dollars par mois pour eux, et le retour est de «vendre des failles de sécurité aux agences de renseignement».

La nouvelle peut être choquante pour certains, mais c'est la vérité, qu'il a présentée en détail Site web de Forbes Le célèbre. Récemment, la nouvelle s'est répandue que Google avait payé 60 dollars à deux programmeurs qui ont pu trouver de graves failles de sécurité dans le navigateur Google Chrome, et Google fournit en permanence des mises à jour de son célèbre navigateur et publie une liste des montants payés aux personnes qui ont pu pour trouver des failles de sécurité dans le navigateur. Ces sommes leur sont versées en récompense pour les aider à trouver ces échappatoires puis à les combler, mais les montants habituels à voir sont de 1000 à 2000 dollars, mais les montants atteignent 60 mille dollars pour deux personnes, ou 120 dollars pour deux écarts, cela montre la gravité de ces failles et vous pouvez ouvrir la page des versions de Google Chrome et voir les récompenses payées pour les développeurs Via ce lien.

Obtenir une récompense pour avoir trouvé une vulnérabilité est normal et bienvenu, quelle que soit l'ampleur du montant, mais cela ne s'arrête pas là. Chaouki Bekrar, propriétaire de l'une des entreprises travaillant dans le domaine de la recherche en sécurité, mentionne que son entreprise le fait. pas informer Google sur les méthodes utilisées pour trouver des failles de sécurité, même pas pour le montant de 60 mille dollars Il a ajouté: «Nous ne partagerons pas ces secrets avec Google, pas même la somme d'un million de dollars, et nous ne leur parlerons pas pour les aider à combler les failles de sécurité. Nous souhaitons garder cette question uniquement pour nos clients. "Cela signifie qu'ils informeront d'autres personnes des failles de sécurité et des moyens de les éviter, mais ils ne le diront pas à Google lui-même. Cela signifie que ces clients ne veulent pas que Google comble ces failles, sinon ils permettraient à la vulnérabilité de les atteindre. Savez-vous qui sont ces agents? «Ce sont les agences gouvernementales de sécurité.»

Selon le rapport, les pirates peuvent gagner en moyenne 2000 à 3000 dollars grâce à la vulnérabilité de sécurité qu'ils découvrent dans un système d'exploitation, un site Web d'entreprise ou même un programme célèbre, en informant le propriétaire du programme de l'existence de cette vulnérabilité et en obtenant le récompense traditionnelle. Mais il peut gagner 10 fois et peut-être 100 fois ce montant auprès de la police, des services de sécurité ou même des espions et des ennemis du propriétaire de ce projet en échange de les forcer avec cette échappatoire et de la garder secrète du propriétaire du programme en ordre de ne pas le fermer. L'une des organisations spécialisées dans ce domaine, appelée Vupen, a déclaré que ses clients paient 100 XNUMX dollars par an pour s'abonner à un service confidentiel de connaissance des vulnérabilités. En d'autres termes, la société recherche des lacunes et fait des forfaits «tels que des forfaits téléphoniques» et diverses parties y participent avec des sommes énormes pour obtenir les vulnérabilités secrètement et sans les annoncer et elles ne demandent pas Vupen Corporation Vous leur dites comment obtenir les vulnérabilités, pas même qui les a achetées, tout ce qu'ils veulent, c'est obtenir la vulnérabilité et ne pas la publier. Quant aux programmes dans lesquels ils trouvent des failles de sécurité et les vendent à leurs clients, ils ont mentionné, par exemple, l'application Microsoft Word, Adobe Reader, Google Android et enfin le célèbre système Apple iOS, et ce dernier est le plus cher en prix. car c'est le plus répandu et le plus difficile à pénétrer. Voici une liste de tarification des vulnérabilités, en fonction de chaque système d'exploitation et application.

Bien sûr, il existe de nombreux facteurs qui contrôlent le prix, y compris la propagation du système d'exploitation, ce qui signifie que le groupe cible de la vulnérabilité est une grande catégorie, et aussi la nouveauté du système, donc la pénétration d'un système moderne coûte plus parce que les vulnérabilités sont encore nouvelles et que l'entreprise qui la vend ne s'imaginera pas qu'elle casse si vite, et nous voyons dans la liste que le prix d'une vulnérabilité du système Exploiter le Mac (sur lequel je travaille actuellement) vaut 20-50 mille dollars contre 60-120 pour le système d'exploitation Windows, ce qui semble illogique pour certains car tout le monde pense que le système Mac est le plus sécurisé, donc ses vulnérabilités seront les plus chères, mais il y a un autre facteur qui est que si vous savez Pour une forte vulnérabilité Windows, vous ciblez plus d'un milliard d'appareils dans le monde, et ce nombre est deux fois plus grand que les utilisateurs de Mac. Mais malgré ces sommes énormes qu'ils obtiennent en échange des vulnérabilités, Vupen ne vend pas les vulnérabilités exclusivement à un seul acheteur, mais les vend plutôt à plus d'un acheteur, et aucun d'entre eux ne saura qu'il y a ceux qui ont acheté la même vulnérabilité. comme lui et peut le vendre à plus d'une agence gouvernementale et dépend de ce que chaque acheteur ne dira à personne qu'il connaît cette faille.

L'équipe Vupen à la populaire conférence Pwn2Own Hacker

Mais certains hackers préfèrent identifier les acheteurs de leurs propres vulnérabilités et être des institutions ou des alliances majeures telles que l'OTAN et ses membres et ne vendent les vulnérabilités à aucun pays extérieur à l'OTAN et ils ont déclaré qu'ils examinaient les demandes d'achat. et chercher à empêcher les informations et les failles qu'ils obtiennent d'atteindre des régimes non démocratiques parce que les régimes dictatoriaux utiliseront des failles contre leur propre peuple, tandis que les régimes démocratiques les utiliseront pour protéger leur peuple contre les terroristes et autres. Mais le problème, selon leurs dires, est qu'ils ne garantissent pas que la violation restera entre les mains de l'acheteur uniquement parce que si vous vendez une arme à quelqu'un, vous ne garantissez pas que cette personne ne vendra pas l'arme à un tiers ou que ce bon et fiable acheteur n'est qu'un intermédiaire comme cela s'est produit selon leur affirmation qu'ils ont vendu une vulnérabilité de sécurité à quelqu'un. Les pays arabes ont alors été surpris qu'elle soit utilisée pour surveiller les militants politiques par le régime syrien. Le rapport indique que Vupen ne demande pas à l'utilisateur ce qu'il va faire avec cette vulnérabilité ou, plus précisément, il ne se soucie pas de savoir car tout ce qui compte pour lui est d'obtenir le montant convenu dans son compte uniquement, mais si la vulnérabilité est amélioré ou mal utilisé, ce n'est pas important pour lui.

La question qui se pose est de savoir comment ces échappatoires sont vendues? Vous pouvez être un professionnel dans le domaine de l'informatique et découvrir une vulnérabilité, mais vous n'êtes pas un professionnel du marketing et de l'estimation de son prix, vous ne pouvez même pas traiter avec les services de sécurité tels que l'intelligence et autres pour leur vendre les vulnérabilités. Vous n'êtes qu'un programmeur professionnel et vous ne savez rien d'autre que la programmation. Voici le rôle des médiateurs, dont celui de Grugq, qui est un nom cinétique bien sûr. Il vit dans la capitale thaïlandaise, Bangkok, et travaille comme médiateur.% Of ces offres sont des commissions. Ne pensez-vous pas que ce pourcentage est faible: selon lui, l'an dernier, il a obtenu plus d'un million de dollars de transactions, ce qui vous fait imaginer l'ampleur des transactions qu'il fait? Et sa renommée s'est répandue dans le monde entier, ce qui fait qu'il ne traite plus de simples échappatoires et n'accepte pas d'accord si le prix cible de l'échappatoire ne se compose pas d'au moins 15 chiffres, et il a été mentionné qu'en décembre dernier, il a vendu un échappatoire à une agence gouvernementale au prix d'un quart de million de dollars. Si vous pensez que ce travail est secret et que cette personne ne connaît pas sa vérité, alors ce n'est pas vrai, car il travaille en public, et c'est sa photo dans un restaurant où il travaille.

Lorsqu'on lui a demandé quelles sont les échappatoires les plus rentables pour lui et les plus chères, il a répondu: «Bien sûr, iOS, même après la diffusion d'Android, mais Android est facile à pénétrer, tandis qu'iOS nécessite de franchir les barrières de sécurité d'Apple et son système complexe, c'est le plus difficile et le plus cher. " Jailbreakme Ce qui était juste une page Web qui a fait un retrait et le jailbreak lui est arrivé qu'il y ait des organisations prêtes à payer plus d'un quart de million de dollars en échange de leur devenir exclusif, car cela leur permettra de pénétrer facilement n'importe quel appareil via le Navigateur Safari. Quant à son client le plus important, il a déclaré que c'était le gouvernement américain, qui, selon le communiqué, est le plus gros acheteur d'échappatoires et le parti le plus rémunérateur, et qu'il en tire 80% de ses revenus. Il existe également d'autres agences gouvernementales, y compris la Chine, dans lesquelles un grand nombre de développeurs travaillent pour trouver les vulnérabilités et les vendre uniquement au gouvernement chinois. Mais la situation diffère au Moyen-Orient, où le marché est considéré comme faible pour de nombreuses raisons, notamment le manque généralisé de dépendance généralisée de la technologie par les gouvernements et les populations dans toutes les directions de leur vie.

Et parfois, les pirates cherchent à publier des vidéos pour les identifier et aussi faire de la propagande et prouver leur pouvoir. En mai 2011, Vupen a publié une vidéo d'un piratage d'appareil avec des exploits dans Chrome, mais ils n'ont donné aucune information à Google sur cette vulnérabilité et ont refusé pour lui dire comment le fermer. Google a annoncé avoir utilisé une vulnérabilité dans le flash dans le navigateur pour le pénétrer, pas le navigateur lui-même, et ils ont publié une mise à jour pour fermer cette vulnérabilité, mais Vupen a répondu à Google en disant que cela trompait les utilisateurs et que la vulnérabilité existe toujours et ils a également refusé de l'aider, ce qui a incité les responsables de Google à décrire les pirates comme opportunistes et immoraux et à laisser des millions d'utilisateurs.Ils ne sont en danger que pour prouver leur force.

CONCLUSION

  1. Certains pirates trouvent des vulnérabilités et les vendent à des entreprises officielles pour les fermer et obtenir des récompenses. C'est bon et bénéfique pour l'utilisateur et les entreprises.
  2. Certains hackers vendent ces vulnérabilités à des tiers qui ne souhaitent pas que ces vulnérabilités soient fermées afin de pouvoir les utiliser à des fins d'espionnage. C'est mauvais et ça fait mal à tout le monde.
  3. Les pirates informatiques ne garantissent pas comment un acheteur utilisera cette vulnérabilité.
  4. Il y a des gens qui travaillent comme intermédiaires et qui reçoivent des sommes énormes pour cela.
  5. Les vulnérabilités les plus lucratives sont les vulnérabilités iOS car ce sont les plus difficiles.
  6. Le pirate peut découvrir des vulnérabilités système telles qu'iOS et ne pas les utiliser dans le jailbreak, mais les vendre à des agences gouvernementales pour pénétrer les appareils des utilisateurs et ne pas les annoncer afin de ne pas être fermées par Apple.
 Tout comme il y a une guerre sur le terrain avec les armes conventionnelles, il y a aussi une guerre électronique ... et les pays préparent leur équipement, même si cette guerre éclate, elle a sorti ce qui était à son époque et a pris le contrôle du les technologies de l'ennemi.
Que pensez-vous? Avez-vous anticipé ce marché noir et le trading d'échappatoires et cela vous inquiète?

forbes

Articles connexes