Failles de sécurité : Facebook élargit son champ d’action et vous paie 500 dollars pour ça

L’année dernière, Facebook avait lancé une prime aux bugs pour les applications et les sites Web, afin de récompenser les chercheurs qui découvraient des vulnérabilités impliquant une fuite de données des utilisateurs du réseau social. Les chasseurs de bugs disposent maintenant d’une plateforme claire pour signaler des problèmes de sécurité.

Facebook est souvent pris dans la tourmente en matière de sécurité, comme le montre cette récente affaire dans laquelle le réseau social a diffusé 419 millions de numéros de téléphone à l’insu de ses utilisateurs. Facebook tente cependant de colmater les brèches par tous les moyens et vient de décider d’étendre la portée de son programme de Bug Bounty. Même si les erreurs des applications tierces ne sont pas liées au code de Facebook, le réseau social souhaite récompenser tous les rapports de bugs valides (et pas seulement ceux qui exposent les données des utilisateurs). Pour être admissibles à une récompense financière, les chercheurs doivent tout d’abord se conformer au programme de divulgation de vulnérabilité de l’application tierce, avant de soumettre les résultats à Facebook.

Renforcer la sécurité de l’ensemble de l’écosystème applicatif
Le lancement du programme Bug Bounty de Facebook date de 2011. Ce projet a montré que les connaissances partagées par les chercheurs sont précieuses et aident à renforcer le travail de sécurité. En s’engageant à récompenser les rapports de bugs valides dans les applications et sites tiers, Facebook espère inciter davantage de spécialistes en sécurité à travailler avec les développeurs d’applications.

L’élargissement du programme à tous types de bugs devrait attirer les chercheurs vers des éléments qui n’auraient pas reçu autant d’attention sans l’existence d’un système de prime. En plus de l’amélioration de la sécurité des données des utilisateurs, Facebook souhaite renforcer celle de l’ensemble de l’écosystème des applications.

Facebook a modifié les conditions de service du Bug Bounty pour ajouter ces nouvelles informations. Il est notamment indiqué que les chercheurs doivent inclure une preuve de l’autorisation accordée par le développeur tiers lorsqu’ils soumettent leur rapport à Facebook. La récompense financière est d’une valeur minimale de 500 dollars, elle dépend de l’impact de la vulnérabilité.