O GitHub destacou o pesquisador de segurança @r31n como parte de sua cobertura do Mês de Conscientização sobre Segurança Cibernética, ressaltando seu trabalho no GitHub Enterprise Server e sua abordagem para encontrar e confirmar vulnerabilidades por meio do Programa de Bug Bounty da empresa.
Em uma entrevista publicada pelo GitHub, @r31n afirmou que o programa oferece um alvo amplo e em constante evolução, com novos recursos e sistemas complexos que proporcionam oportunidades para desenvolver habilidades de segurança. Em vez de se concentrar em uma única categoria de vulnerabilidade, o pesquisador se interessa especialmente por cadeias de exploração, nas quais problemas individualmente limitados podem se combinar e resultar em um problema de segurança mais grave.
Seu processo de pesquisa começa pelo mapeamento de um aplicativo e pela análise de recursos complexos, integrações e limites de confiança. Ele observa como dados controlados por um invasor entram em um sistema, como são transformados ou verificados e se podem chegar a uma operação sensível, como uma solicitação de rede, acesso a arquivos ou uma decisão de autorização. Segundo ele, uma descoberta é confirmada quando o caminho do ataque é compreendido, há uma prova de conceito funcional e o impacto pode ser explicado.
@r31n prefere a investigação manual e pequenos scripts adaptados a uma tarefa específica, mas também usa IA para agilizar atividades como navegar por código desconhecido, rastrear fluxos de dados e elaborar scripts de prova de conceito. Ele alertou que as respostas da IA podem estar erradas e afirmou que os pesquisadores precisam reproduzir e verificar por conta própria qualquer possível vulnerabilidade. Na sua opinião, a IA deve aprimorar a pesquisa, em vez de simplesmente aumentar o número de relatórios.
O pesquisador também aconselhou os iniciantes a aprender como os sistemas funcionam, em vez de depender apenas de listas de payloads e ferramentas. Ele recomendou escolher um programa e um alvo, explorar seus recursos e níveis de permissão e dedicar tempo a desenvolver uma compreensão detalhada. Os relatórios devem incluir uma prova de conceito clara e reproduzível para que as equipes de segurança possam validar o problema.
O GitHub afirma que pesquisadores que enviam descobertas verificadas de forma consistente podem ser convidados para seu programa VIP permanente, que oferece recompensas mais altas, tempos de resposta mais rápidos e acesso antecipado a versões beta de produtos e recursos. A empresa recebe relatórios de bugs por meio do HackerOne.
Fontes: GitHub Blog.