防国家级监控 Tor也推抓漏奖励计画

HackerOne

为因应警方及国家监控愈来愈严格，匿名网路专案Tor也和许多软体公司一样，推出抓漏奖励的计画。
 
Tor去年初曾和抓漏代管业者HackerOne合作第一次未公开的抓漏计画。这次再度和HackerOne合作下，将抓漏计画扩大公开举行。
 
Tor浏览器开发工程师Georg Koppen指出，Tor专案希望和研究社群扩大合作关係，藉此提升软体的安全性。通报漏洞有助于在问题变成对用户的威胁之前加以解决。
 
Tor这次针对两项核心产品，包括Tor及Tor 浏览器邀请研究人员抓漏。根据Tor的规划，以Tor来说，低风险漏洞像是可驱动未定义的行为、频外读取、影响少人用的平台（除了Windows、Linux、Mac、FreeBSD）或组态等严重程度低的漏洞，可获颁奖金100到500美元。针对远端入侵漏洞、要求本机权限存取主机、及导致隐藏服务、relay及dirauth的记忆体洩露等中度严重性的漏洞，将发给500到2,000美元。
 
如果研究人员找到远端程式执行、relay或用户端加密资讯洩露、致使用户端身份曝光的攻击、或造成绕过验证及冒名中继节点等高风险漏洞，则可获得2,000到4,000美元的奖金。发现Tor使用的第三方函式库漏洞者，也可拿到500到2,000美元。
 
在Tor浏览器方面，如果是已列于Tor及Mozilla的bugtracker上的漏洞，不会有奖金可拿。在此以外的漏洞则可依严重程度，低到中度严重性漏洞提供100到2,000美元奖励。而导致匿名性丧失或受损的高风险漏洞，则可拿到2,000到3,000美元奖金，甚至更高。
 
Koppen也相信抓漏奖励的範围由Tor和Tor浏览器未来极可能会再扩大。
 
旨在保护通讯内容及使用者身份隐私的Tor，成了许多政府眼中侦察异议人士、犯罪及恐怖主义的一大阻碍，无不设法骇入。2014 年Tor曾发现遭到疑似国防部计画相关单位入侵监听用户。今年FBI也曾利用Tor的非公开漏洞成功逮捕一名儿童色情网站相关嫌犯。