Tor Browser is het belangrijkste hulpmiddel om snel en veilig toegang te krijgen tot het Tor-netwerk. Die status maakt het een verleidelijk doelwit, maar als je van plan bent om gaten in de beveiliging te vinden, is de meest effectieve manier om hackers aan te trekken met aantrekkelijke beloningen. Na het aanbieden van tot een half miljoen dollar voor bugs in berichtendiensten zoals WhatsApp en Telegram, heeft het bedrijf Zerodium bevestigd dat het een miljoen dollar zal uitdelen aan onderzoekers die nieuwe 0-day kwetsbaarheden in de Tor Browser aanleveren.
Het Tor-netwerk is waarschijnlijk onze beste optie om veilig, privé en anoniem te surfen. Er zijn veel groepen die geïnteresseerd zijn in het ontdekken van gaten (of om er misbruik van te maken of om ze volledig te dichten), en om logische redenen richten ze zich op de populaire Tor Browser. De beveiliging is verbeterd en de mitigatiemechanismen in de nieuwste besturingssystemen maken een directe aanval moeilijker, maar we weten allemaal dat het geen perfecte oplossing is en dat er fouten in de code zitten die wachten om ontdekt te worden.
Daar verschijnt het beveiligingsbedrijf Zerodium, dat bereid is om maximaal een miljoen dollar aan prijzen uit te delen in ruil voor 0-day kwetsbaarheden die de Tor Browser op Windows 10 en Tails Linux 3.x treffen. De uiteindelijke bedragen hangen af van de beveiligingsparameters, maar de hoogste beloning is 250.000 dollar (de aanval moet werken met JavaScript uitgeschakeld), terwijl de kleinste een niet te verwaarlozen 75.000 dollar biedt. Zoals verwacht heeft Zerodium een reeks regels voor zijn campagne opgesteld. De "klussen" moeten nieuw, exclusief en onbekend zijn, met een webpagina als eerste aanvalsvector, en het uiteindelijke doel van elke exploit is de uitvoering van code op afstand.
Alle geïnteresseerden in de beloningen hebben tot 30 november de tijd om hun inspanningen met Zerodium te delen. Nu ... is dat genoeg? Een miljoen dollar is veel geld, maar iets zegt me dat als een onderzoeker een 0-day kwetsbaarheid in de Tor Browser bezit, hij er misschien meer geld voor kan krijgen ...
