ペイパル、セキュリティ脆弱性を確認し倫理的ハッカーに報奨金を支払う

ユーザーのパスワードがハッカーに漏洩する可能性のあるセキュリティ侵害を報告したことで、ペイパルは倫理的ハッカーであるアレックス・ブリアンに、バグ報奨金として1万5300ドル（$15,300）を支払った。 ペイパルは公然と、ブリアンが研究者としてこの侵害を発見し、同社に報告したことを認めた。

ブリアンは1月8日に侵害を報告したが、 ペイパルは12月以来すでにこの欠陥を修正していたものの、ブリアンに報奨金を支払った。

倫理的ハッカー（ホワイトハットハッカーとも呼ばれる）は、悪意のあるハッカーが利用する可能性のあるセキュリティ脆弱性を見つけるために、所有者の許可を得て、コンピュータシステム、ネットワーク、アプリケーション、またはその他のコンピューティングリソースに対して体系的に侵入を試みる情報セキュリティの専門家である。

ブリアンは公開開示の中で、これはペイパルの最も訪問されるページの一つに影響を与える高重大度のバグの話であると書き、ログインフォームを指している。彼はペイパルの主要な認証フローを探索している間にこの侵害を発見した。

ペイパルの抜け穴

ブリアンによると、彼の注意は、JavaScript（JS）ファイルにクロスサイトリクエストフォージェリ（CSRF）トークンとセッションIDのように見えるものが含まれているという事実に引かれた。有効なjavascriptファイル内にセッションデータを提供することは、攻撃者がそれを取得できることを通常可能にする、とブリアンは述べた。

同様に、 PayPal ReCaptchaの実装で使用されるJSファイルで機密性の高い一意のトークンが漏洩していることを確認した。特定の状況では、ユーザーは認証後にCAPTCHAチャレンジを解決する必要があり、ペイパルは露見したトークンがCAPTCHAを解決するためのPOSTリクエストで使用されていることに注意を払った。

ペイパルはまた、captchaを解決した後、ユーザーは別の（悪意のある）サイトに移動してペイパルの認証情報を入力する必要があることを確認した。これにより、ハッカーはセキュリティチャレンジを完了し、パスワードを表示する認証リクエストのリプレイを生成することが可能になる。

ペイパルはさらに、露出はユーザーが悪意のあるサイトからのログインリンクに従った場合にのみ発生すると説明した。.

倫理的ハッカーの接続プラットフォーム

サイバーセキュリティを促進するために、組織は、 HackerOne、ソフトウェア、サービス、または製品で見つかった脆弱性に対して報酬を支払う組織と倫理的ハッカーを接続するプラットフォームを提供している。.

あるハッカーは、報告によると HackerOneプラットフォーム自体をハッキングし、自身で2万ドルを稼いだ。

これ以外にも、倫理的ハッカーが可能なセキュリティ侵害を見つけるために参加を促されるハッキングコンペティションがある。 これらのPwn2Ownハッキングコンテストの一つは3月に開催され、テスラ・モデル3の電気自動車をハッキングできる者は誰でも70万ドルと新しいテスラ・モデルを手に入れることができる。

アップルもまた、iPhoneをハッキングする者は誰でも150万ドルの報酬を受け取ると確認している。

アイキャッチ画像： Pixabay