GitHub ha destacado al investigador de seguridad @r31n como parte de su cobertura del Mes de Concienciación sobre Ciberseguridad, resaltando su trabajo en GitHub Enterprise Server y su método para encontrar y confirmar vulnerabilidades mediante el Programa de Recompensas por Errores de la empresa.
En una entrevista publicada por GitHub, @r31n dijo que el programa ofrece un objetivo amplio y en constante evolución, con nuevas funciones y sistemas complejos que brindan oportunidades para desarrollar habilidades de seguridad. En lugar de centrarse en una sola categoría de vulnerabilidades, al investigador le interesan especialmente las cadenas de explotación, en las que problemas de alcance limitado pueden combinarse y generar un problema de seguridad más grave.
Su proceso de investigación comienza por elaborar un mapa de la aplicación y examinar funciones complejas, integraciones y límites de confianza. Analiza cómo entran en un sistema los datos controlados por un atacante, cómo se transforman o verifican y si pueden llegar a una operación sensible, como una solicitud de red, el acceso a archivos o una decisión de autorización. Según explicó, un hallazgo queda confirmado cuando se comprende la vía de ataque, se dispone de una prueba de concepto funcional y se puede explicar el impacto.
@r31n prefiere la investigación manual y los scripts pequeños adaptados a una tarea específica, aunque también utiliza la IA para agilizar actividades como orientarse en código desconocido, rastrear flujos de datos y redactar scripts de prueba de concepto. Advirtió que las respuestas de la IA pueden ser incorrectas y afirmó que los investigadores deben reproducir y verificar por sí mismos cualquier posible vulnerabilidad. A su juicio, la IA debería mejorar la investigación, no limitarse a aumentar la cantidad de informes.
El investigador también aconsejó a quienes se inician en este ámbito que aprendan cómo funcionan los sistemas, en lugar de depender únicamente de listas de cargas útiles y herramientas. Recomendó elegir un programa y un objetivo, explorar sus funciones y niveles de permisos, y dedicar tiempo a comprenderlos en profundidad. Los informes deberían incluir una prueba de concepto clara y reproducible para que los equipos de seguridad puedan validar el problema.
GitHub afirma que los investigadores que envían de forma constante hallazgos verificados pueden recibir una invitación a su programa VIP permanente, que ofrece recompensas más altas, tiempos de respuesta más rápidos y acceso anticipado a versiones preliminares de productos y funciones beta. La empresa acepta informes de errores a través de HackerOne.
Fuentes: GitHub Blog.