EU start bug bounty-programma’s voor 15 open source-projecten

Het bug bounty-initiatief valt onder het Free and Open Source Software Audit (FOSSA)-project van de Europese Commissie. Doel van het project is de integriteit en betrouwbaarheid van populaire open source-programma’s te waarborgen en te verbeteren. FOSSA werd in 2014 opgericht naar aanleiding van een veiligheidslek in OpenSSL dat ook EU-lidstaten trof. Julia Reda, Duits Europarlementariër en één van de initiatiefnemers van FOSSA, schrijft op haar website dat de vijftien projecten zijn gekozen na inventories en een publieke enquête. Volgens Reda leunen EU-instituten op de open source-software.

Looptijd verschilt per project

De bug bounty-programma’s voor veertien projecten starten verspreid in januari, terwijl midPoint in maart begint. Bij sommige projecten hebben onderzoekers maar een half jaar om bugs en kwetsbaarheden aan te kaarten. Andere projecten lopen tot eind 2019 of begin 2020. Het Drupal-project geldt als enige tot oktober 2020. De Europese Commissie gebruikt de platformen HackerOne en Intigriti/Deloitte.

Drupal en PuTTY leveren het meeste geld op

Reda schrijft dat de hoogte van de bug bounty-prijs afhangt van de impact van de bug of kwetsbaarheid en hoe belangrijk de software is. De prijzen die zij als beloningen noemt op haar site, lijken daarom de maximale bedragen. De Europese Commissie vindt Drupal (89 duizend euro) en PuTTY (90 duizend euro) blijkbaar de belangrijkste software. Wie een (grote) bug of kwetsbaarheid meldt in KeePass of Notepad++ ontvangt maximaal 71 duizend euro. Op de website van parlementariër Reda staat de volledige lijst met projecten, inclusief bug bounty-prijzen en start- en einddata.

Bug bounty-programma's zijn bekend in de softwarewereld. Veel grote techbedrijven, waaronder Apple, Facebook en Google, keren beveiligingsonderzoekers duizenden euro's uit als zij kwetsbaarheden aankaarten.