GitHub ha presentato il ricercatore di sicurezza @r31n nell’ambito della propria copertura del Mese della consapevolezza sulla cybersicurezza, mettendo in evidenza il suo lavoro su GitHub Enterprise Server e il suo approccio alla ricerca e alla conferma delle vulnerabilità attraverso il Bug Bounty Program dell’azienda.
In un’intervista pubblicata da GitHub, @r31n ha affermato che il programma offre un obiettivo ampio e in continua evoluzione, con nuove funzionalità e sistemi complessi che offrono opportunità per sviluppare competenze di sicurezza. Invece di concentrarsi su una sola categoria di vulnerabilità, il ricercatore è particolarmente interessato alle catene di exploit, in cui problemi singolarmente limitati possono combinarsi e creare un problema di sicurezza più grave.
Il processo di ricerca inizia con la mappatura di un’applicazione e l’esame di funzionalità complesse, integrazioni e confini di fiducia. Il ricercatore analizza come i dati controllati da un aggressore entrano in un sistema, come vengono trasformati o verificati e se possono raggiungere un’operazione sensibile, come una richiesta di rete, l’accesso a un file o una decisione di autorizzazione. Ha spiegato che un risultato è confermato quando il percorso di attacco è stato compreso, è disponibile una proof of concept funzionante e se ne può descrivere l’impatto.
@r31n predilige l’analisi manuale e piccoli script adattati a un’attività specifica, ma usa anche l’IA per velocizzare operazioni come orientarsi in codice poco familiare, tracciare i flussi di dati e preparare script per le proof of concept. Ha avvertito che i risultati dell’IA possono essere errati e ha detto che i ricercatori devono riprodurre e verificare personalmente ogni potenziale vulnerabilità. A suo parere, l’IA dovrebbe migliorare la ricerca, non limitarsi ad aumentare il numero di segnalazioni.
Il ricercatore ha inoltre consigliato ai nuovi arrivati di imparare come funzionano i sistemi, invece di affidarsi soltanto a elenchi di payload e strumenti. Ha raccomandato di scegliere un programma e un obiettivo, esplorarne le funzionalità e i livelli di autorizzazione e dedicare del tempo a svilupparne una comprensione approfondita. Le segnalazioni dovrebbero includere una proof of concept chiara e riproducibile, affinché i team di sicurezza possano convalidare il problema.
GitHub afferma che i ricercatori che inviano con regolarità risultati verificati possono essere invitati al suo programma VIP permanente, che offre ricompense più elevate, tempi di risposta più rapidi e anteprime dei prodotti e delle funzionalità beta. L’azienda accetta le segnalazioni di bug tramite HackerOne.
Fonti: GitHub Blog.