GitHub a mis en avant le chercheur en sécurité @r31n dans le cadre de sa couverture du Mois de la sensibilisation à la cybersécurité, en soulignant ses travaux sur GitHub Enterprise Server et sa démarche pour découvrir et confirmer des vulnérabilités par l’intermédiaire du programme de primes aux bugs de l’entreprise.
Dans une interview publiée par GitHub, @r31n a déclaré que le programme propose une cible vaste et en constante évolution, avec de nouvelles fonctionnalités et des systèmes complexes qui offrent des possibilités de développer ses compétences en sécurité. Plutôt que de se concentrer sur une seule catégorie de vulnérabilités, le chercheur s’intéresse particulièrement aux chaînes d’exploitation, dans lesquelles des problèmes limités pris individuellement peuvent se combiner pour créer un problème de sécurité plus grave.
Son processus de recherche commence par la cartographie d’une application et l’examen de fonctionnalités complexes, d’intégrations et de frontières de confiance. Il étudie comment des données contrôlées par un attaquant entrent dans un système, comment elles sont transformées ou vérifiées, et si elles peuvent atteindre une opération sensible, comme une requête réseau, l’accès à un fichier ou une décision d’autorisation. Selon lui, une découverte est confirmée lorsque le chemin d’attaque est compris, qu’une preuve de concept fonctionnelle est disponible et que l’impact peut être expliqué.
@r31n privilégie l’analyse manuelle et les petits scripts conçus pour une tâche précise, tout en utilisant l’IA pour accélérer des travaux tels que l’exploration d’un code inconnu, le suivi des flux de données et la rédaction de scripts de preuve de concept. Le chercheur a averti que les réponses de l’IA peuvent être erronées et indiqué que les chercheurs doivent reproduire et vérifier eux-mêmes toute vulnérabilité potentielle. Selon lui, l’IA devrait améliorer la recherche plutôt que simplement augmenter le nombre de rapports.
Le chercheur a également conseillé aux débutants d’apprendre comment fonctionnent les systèmes au lieu de se fier uniquement à des listes de charges utiles et d’outils. Il leur a recommandé de choisir un programme et une cible, d’explorer les fonctionnalités et les niveaux d’autorisation, et de prendre le temps d’en acquérir une compréhension approfondie. Les rapports devraient inclure une preuve de concept claire et reproductible afin que les équipes de sécurité puissent valider le problème.
GitHub indique que les chercheurs qui soumettent régulièrement des découvertes vérifiées peuvent être invités à rejoindre son programme VIP permanent, qui propose des récompenses plus élevées, des délais de réponse plus courts et des avant-premières des produits et fonctionnalités en version bêta. L’entreprise accepte les rapports de bugs par l’intermédiaire de HackerOne.
Sources: GitHub Blog.