/fefe/ – Fefes Kommentarfunktion

>dies das
>Buuh
>Bug Bounty
>Erpressung


Das Geschäftsmodell ist, die eigene Arbeit der Qualitätskontrolle an einige wenige dumme Hobbysten unbezahlt auszulagern.

>>114069
Jenes.

>>114069
>>114077
Hier stimmt Felix mal nicht zu und ist ausnahmsweise bei Fefe.
* Der Typ, der den CVE gegen das Wortpresse-Steckein gemeldet hat, hat nicht kapiert, dass die API keine Authentifizierung können soll
* Der Typ, der den CVE gegen curl gemeldet hat, hat anscheinend einfach die Commit-Logs auf "off-by-one" etc. gegreppt, und nicht kapiert, dass das nur den Debug-Build betraf und somit nie das Licht der Welt in Binärform erblickt hat und zum Zeitpunkt der CVE-Meldung bereits gefixt war [0]

Man muss sich mal klarmachen, dass ein CVE gegen jemanden aufzumachen noch weniger Arbeit mit sich bringt, als auf einem Bilderbrett zu pfostieren: Auf einem Bilderbrett muss man seine Behauptungen wenigstens belegen, das CVE kann man einfach so mit seinen Behauptungen aufmachen. Da wäre das Mitliefern eines Proof-of-Concepts als zwingende Voraussetzung zum Eröffnen des CVEs das Mindeste.

Das ist vielmehr Narzissmus auf Seiten des CVE-Reporters ("schaut mal, wie viele CVEs ich auf dem Kerbholz habe!") und ungefähr auf dem Niveau "ich habe ein paar Variablen im Linux-Kernel-Quellkot const gemacht, nun darf ich mich Kernel-Hacker nennen!". Vergleiche auch die ganzen Inder, die Offene-Soße-Projekte auf Github mit Trivialänderungen (nicht vom Kot, vom Readme!) überfluten, damit sie dann als Contributor dastehen. Solche Leute braucht niemand.

[0] https://curl.se/docs/CVE-2023-52071.html

>>114069
>Das Geschäftsmodell ist, die eigene Arbeit der Qualitätskontrolle an einige wenige dumme Hobbysten unbezahlt auszulagern.
Wieso die eigene Arbeit? Dafür gibt es doch kompetente Dienstleister: inhabergeführt, mit langjähriger Erfahrung und eigenem Medienkompetenz-Blog.

>>114108
Felix hat natürlich nur Fefes Überschrift gelesen und nicht den Link geöffnet. Keine Ahnung, worum es da speziell ging, aber generell findet Felix, dass es absolut berechtigt ist, für seine Arbeit entlohnt werden zu wollen, und dass man nicht aus "Altruismus" seine gefundenen Sicherheitslücken melden muss. Ein Unternehmen tut gut daran, ein Bug-Bounty-Programm zu haben Finder angemessen zu entlohnen.

>>114122
>Ein Unternehmen
Was ist bei curl das "Unternehmen"?
Die meisten Offenen-Soße-Projekte sind Liebesprodukte eines einsamen Entwicklers, der am Abend freiwillig noch Arbeit reinsteckt.

Da mit halb-automatisierten Falschmeldungen draufzupissen ist hart asozial, und dann von denen noch Geld zu verlangen noch asozialer. Wenn der Entwickler damit nichts verdient, warum sollte der Sicherheitslückenfinder, der noch um mehrere Größenordnungen weniger Arbeit reinsteckt, Geld bekommen?

>>114156
Nochmal: Ich habe den Link nicht geöffnet. Bei Offene-Soße-Projekten ist das natürlich was anderes. Habe auch noch nie gehört, dass jemand von einem Offene-Soße-Projekt ein Bug Bounty gefordert hat. Wobei ich mir da Grenzfälle vorstellen könnte, wenn das Projekt hauptsächlich von einem großen Unternehmen entwickelt und genutzt wird, wo es gerechtfertigt sein könnte.

>>114157
>Habe auch noch nie gehört, dass jemand von einem Offene-Soße-Projekt ein Bug Bounty gefordert hat.
Dann betreiben diese Open-Source-Projekte solche Programme vermutlich nur aus Spaß an der Freude.
Siehe bspw.:
https://www.mozilla.org/en-US/security/bug-bounty/

>>114195
Ja, wie gesagt, sowas wie Firefox zählt für mich nicht, weil es kein altruistisches Projekt ist. Es ist kommerziell. Mozilla ist eine Firma und bezahlt auch ihre Entwickler (bis auf die paar Dullis, die umsonst mitarbeiten) und hat einen CEO mit einem Millionengehalt. Dass das Produkt Open Source ist, ändert daran nichts. Das sind keine armen kleinen Krauter, die sich das nicht leisten können.

>>114196
https://curl.se/docs/bugbounty.html

>>114200
Solange es jemanden gibt, der das freiwillig finanziert, soll es Felix nur recht sein. Wer will was dagegen machen? Wäre allerdings schön, wenn auch mal jemand das gleiche für die Entwickler täte und nicht immer nur für diejenigen, die die Schwachstellen finden.