Wenn Facebook nicht zahlen will: Belohnung per Crowdfunding

Kein digitales System dieser Welt ist wirklich zu 100% sicher, was Sicherheitsforscher und Hacker jeden Tag aufs Neue beweisen. Jüngst hatte es unter anderem mal Facebook erwischt und der Entdecker der Lücke hatte selbige auch gleich ganz artig an Facebook gemeldet, ohne Details zur Sicherheitslücke selbst zu veröffentlichen. Die Reaktion von Facebook hingegen war nicht unbedingt schön.

Khalil Shreateh ist ein aus Pakistan stammender Hacker und Sicherheitsforscher, welcher dieser Tage zu einigem Ruhm in der Netzwelt gekommen ist. Denn der tatkräftige Mann hat bei Facebook eine verheerende Sicherheitslücke entdeckt, welche das Posten von Dritten auf der eigenen Facebook-Pinnwand erlaubt und damit zu einem Paradies für Phisher werden könnte. Der Gedanke behagte Khalil ebenfalls nicht so sehr, weswegen er den Bug in der Software über das Bug-Bounty-Programm an Facebook meldete, der Konzern beachtete jedoch den Sicherheitsforscher nicht wirklich. Also dachte sich Khalil Shreateh, dass man Facebook die Wichtigkeit der Lücke und deren schnellstmögliche Stopfung vorführt und hat kurzerhand etwas an der Pinnwand von Mark Zuckerberg veröffentlicht.

Demonstration mit Folgen

Der Konzern selbst fand das nicht sonderlich witzig, sperrte das Facebook-Profil von Khalil Shreateh, stopfte die Sicherheitslücke und verweigerte auch noch das „Kopfgeld“ auf den gefundenen Bug mit der Begründung, dass Shreateh sich nicht an die geltenden Regeln für das Bug-Bounty-Programm gehalten habe. Diese sehen unter anderem vor, dass eine gefundene Sicherheitslücke bei Facebook nicht aktiv ausgenutzt werden darf vom Finder aber genau dagegen hat Shreateh verstoßen müssen, um die Verantwortlichen auf die Lücke aufmerksam machen zu können.

Der ebenfalls in der Computer-Sicherheit tätige Marc Maiffert wollte das wohl nicht wirklich hinnehmen und hat daher kurzerhand auf der Crowdfunding-Plattform GoFundMe zur Spende für Khalil Shreateh aufgerufen. 2 Tage und 259 Personen später ist die Summe von 12.168 US Dollar zusammen gekommen, um die Leistung und Bemühung von Khalil Shreateh zu honorieren.

Maiffert hingegen hatte mit der Aktion ein zusätzliches Ziel vor Augen, abgesehen von der verdienten Entlohnung Shreatehs. Maiffert wollte mit der Aktion einfach nur deutlich machen, wie wichtig unabhängige Entwickler und Sicherheitsforscher im Kampf gegen Sicherheitslücken sind und die Zusammenarbeit mit größeren Technologie-Unternehmen manchmal einfach nur frustrierend sein kann. Dennoch sollte man bei all der eventuellen Sympathie Khalil Shreateh nicht vergessen, dass die von Facebook aufgestellten Regeln für das Bug-Bounty-Programm nicht umsonst existieren. Und diese sehen die Testung gefundener Lücken an entsprechenden Test-Accounts vor.

[Quelle: GoFundMe | Danke für den Tipp, Michael]