Resumen:
El gigante de los semiconductores Intel anunció recientemente que ha finalizado oficialmente su programa de recompensas por vulnerabilidades de ciberseguridad "Bug Bounty", de larga duración. Según la estructura de recompensas anterior del programa, los investigadores de seguridad externos y los hackers de sombrero blanco podrían recibir recompensas en efectivo de hasta 100.000 dólares por descubrir e informar de forma privada vulnerabilidades de seguridad de alto riesgo en hardware, firmware o software crítico de Intel. Este ajuste estratégico marca un cambio importante en el modelo de cooperación comunitaria de seguridad y recopilación de vulnerabilidades de seguridad de Intel.
Como principal fabricante de chips del mundo, el programa de recompensas por errores de Intel ha desempeñado un papel fundamental en los últimos años. Especialmente después de que una serie de vulnerabilidades de ejecución predictiva a nivel de hardware y ataques de canal lateral como Spectre y Meltdown atrajeran la atención global, este programa se ha convertido en una línea de defensa clave para que Intel atraiga a los mejores expertos en seguridad del mundo para ayudar a solucionar posibles vulnerabilidades y prevenir ataques de día cero. Sin embargo, a medida que evolucionan los requisitos de cumplimiento de ciberseguridad global y se reinventan las estrategias de seguridad interna de la empresa, Intel ha decidido poner fin a este modelo de altas recompensas en efectivo.
Aunque ha puesto fin al programa Bug Bounty para el público y los investigadores independientes, Intel enfatizó que esto no significa que esté relajando las defensas de seguridad de sus productos. Intel dijo que en el futuro, la compañía dependerá más de su propio gran equipo interno de investigación y desarrollo de seguridad, al tiempo que profundizará la cooperación en pruebas de seguridad específicas con agencias de seguridad de terceros confiables, socios académicos y alianzas industriales específicas. Además, Intel seguirá manteniendo un canal de divulgación coordinado y compatible para los informes de vulnerabilidad presentados por los investigadores, pero ya no prometerá automáticamente igualar las elevadas recompensas financieras anteriores.
La industria de la ciberseguridad ha tenido reacciones encontradas ante la decisión de Intel. La falta de incentivos financieros directos puede reducir el entusiasmo de los piratas informáticos independientes por informar directamente sobre las vulnerabilidades a los fabricantes, e incluso puede provocar que algunas vulnerabilidades no reveladas se transfieran al mercado negro. Sin embargo, algunos analistas creen que frente a arquitecturas de chips cada vez más complejas, depender de las recompensas del público en general ya no es capaz de hacer frente a riesgos técnicos profundos. Cambiar los presupuestos para establecer revisiones previas a la seguridad más sistemáticas y una cooperación específica puede ser una opción inevitable para los fabricantes de chips dadas las consideraciones actuales de costos y eficiencia.
Comentarios