Hacker recebe US$15 mil por descobrir bug Heartbleed

Com informações da New Scientist - 14/04/2014

A palavra hacker hoje é sinônimo de bandido.

Nem sempre foi assim, e, se uma nova prática pegar, ser um "hacker do bem" logo poderá se tornar um meio de vida lícito para muitos aficionados da informática.

Há cerca de uma semana foi descoberto um erro de programação na principal camada de segurança da internet, chamada OpenSSL, que gerou uma vulnerabilidade batizada de Heartbleed.

Falha de segurança no OpenSSL recomenda mudança de senhas

A falha, que permaneceu sem identificação por mais de dois anos, foi identificada por um engenheiro de software chamado Neel Mehta, que estava testando a segurança de sites em seu tempo livre.

Dois outros programadores, Adam Langley e Bodo Moeller, incumbiram-se de consertar o Heartbleed rapidamente, embora o fim do problema para os internautas dependa de que os responsáveis pelos sites façam a atualização dos seus servidores.

Mehta não ganhou apenas respeito e fama na comunidade de software: ele acaba de receber um prêmio em dinheiro pelo seu trabalho, doado pela entidade Freedom of the Press Foundation, uma organização que financia ferramentas de criptografia para jornalistas.

Recompensas para hackers

A ideia de recompensar financeiramente as pessoas que descobrem erros de programas de computador poderia melhorar muito a segurança da Internet.

E a prática já conta com a adesão de outras empresas.

O descobridor do Heartbleed receberá seus US$15 mil por meio da plataforma HackerOne, uma empresa que encontra erros em programas de computador, prestando serviços para empresas de TI.

De acordo com Merijn Terheggen, cofundador da HackerOne, a empresa vai usar parte de suas receitas para recompensar hackers individuais que localizarem erros nos programas dos seus clientes.

"Qualquer erro de programação pode ser encontrado se houver um número suficiente de pessoas procurando por ele. Queremos adotar um modelo semelhante à Wikipedia para garantir a segurança da Internet. Dez anos atrás, ninguém jamais teria acreditado que uma enciclopédia escrita por estranhos aleatórios da Internet se tornaria melhor do que a Enciclopédia Britânica, mas esse é o poder da terceirização em massa," disse Terheggen.

Segundo Terheggen, apenas para um de seus clientes, a HackerOne identificou 141 bugs em um mês, a um custo até 100 vezes menor do que se tivesse contratado seus próprios profissionais - sem contar que uma equipe pequena nunca teria feito o trabalho em um mês.

Uma parte dessa receita está virando prêmios para os hackers interessados em trabalhar para mostrar os erros e furos de segurança, e não para explorá-los de forma criminosa.

Se os planos derem certo, as recompensas pela descoberta desses buracos de segurança na internet vai aumentar rapidamente, tanto em termos financeiros quanto de reputação.

Para Terheggen, um erro como o Heartbleed poderá chegar a valer de US$100.000 a US$ 500.000 em um futuro próximo, devido à importância da camada de software onde ele foi localizado.