Rapporto di Sicurezza su HackerOne: Analisi e Consigli

HackerOne è una piattaforma leader nel settore della sicurezza informatica, nota per il suo programma di bug bounty che offre ricompense monetarie a hacker etici per la scoperta e la segnalazione di vulnerabilità. In questo articolo, esploreremo il processo di segnalazione di vulnerabilità su HackerOne, analizzeremo le diverse fasi del processo e forniremo consigli pratici per migliorare la tua esperienza.

Fasi del Processo di Segnalazione

1. Nuovo Rapporto

   • Stato: Nuovo
   • Descrizione: Il rapporto è ancora in fase di validazione iniziale. In questo stato, il sistema di triage di HackerOne valuta la validità della segnalazione iniziale[1].

2. Sottoposto a Revisione del Programma

   • Stato: Pending Program Review
   • Descrizione: Il rapporto è stato inizialmente validato dal triage di HackerOne e ora è sottoposto a ulteriore revisione e valutazione della gravità da parte del team del cliente. In questo stato, la classificazione finale e la gravità del rapporto sono ancora soggette a cambiamenti[1].

3. Triaged

• Stato: Triaged
• Descrizione: Il rapporto è stato validato e inviato per la rimediatura interna. Il team del cliente implementerà una soluzione basata sulla gravità e sulla priorità. In questo stato, la vulnerabilità dovrebbe essere considerata attiva e riproducibile. In casi rari, un bug triaged potrebbe essere etichettato come duplicato o informativo dopo ulteriori revisioni[1].

4. Ritestaggio

   • Stato: Ritestaggio
   • Descrizione: La vulnerabilità è in corso di riprova. Questo è un bug valido che è stato rimediato e che attende la verifica della rimediatura da parte del ricercatore. In questo stato, il rapporto potrebbe tornare allo stato triaged se la soluzione non viene confermata o potrebbe essere spostato allo stato risolto dopo la conferma della soluzione[1].

5. Maggiore Informazione Richiesta

   • Stato: Needs More Info
   • Descrizione: Sono necessarie ulteriori informazioni dal hacker per riprodurre la vulnerabilità o dimostrare l’impatto. I rapporti in questo stato per più di 30 giorni saranno automaticamente chiusi come informativi e non danneggeranno la reputazione del hacker[1].

Stati Chiusi

1. Risolto

   • Stato: Risolto
   • Descrizione: La vulnerabilità è stata risolta e non è necessario alcun ulteriore azione. In questo stato, la vulnerabilità dovrebbe essere considerata risolta e non più riproducibile. Qualsiasi regressione o bypass della soluzione deve essere presentato come un nuovo rapporto e riferito come bypass o regressione del rapporto #.[1]

2. Informativo

   • Stato: Informativo
   • Descrizione: Il rapporto contiene informazioni valide, ma le informazioni fornite non richiedono azioni. Questo stato è spesso utilizzato per le segnalazioni fuori scope o per le segnalazioni contro problemi già noti pubblicati sulla pagina di sicurezza del programma, ma è anche spesso utilizzato per suggerire un rischio accettato.[1]

3. Duplicato

• Stato: Duplicato
• Descrizione: Questo problema è già stato segnalato o è già noto dal team del cliente. Questo stato può anche essere utilizzato quando un singolo fix/deployment risolve più segnalazioni (a causa di un problema sottostante unico). Per ulteriori informazioni su come i duplicati influenzano la reputazione, leggi questo articolo. HackerOne incoraggia i clienti a attribuire i problemi duplicati alle segnalazioni originali o ad includere dettagli sulla sua scoperta originale.[1]

4. Non Applicabile

   • Stato: Non Applicabile
   • Descrizione: Il rapporto non contiene un problema riproducibile valido e le implicazioni di sicurezza non sono state dimostrate. I team di sicurezza dovrebbero descrivere perché il rapporto è stato invalido affinché i hacker possano migliorare le loro abilità di hacking. N/A risulterà in una perdita di punti di reputazione e influenzerà il segnale del hacker.[1]

5. Spam

   • Stato: Spam
   • Descrizione: Il rapporto è invalido perché non descrive una vulnerabilità di sicurezza legittima. Potrebbe anche essere incomprehensibile, abusivo e/o molestatorio. I rapporti che vendono qualsiasi prodotto o servizio saranno anche contrassegnati come Spam.[1]

Consigli e Suggerimenti

• Verifica la documentazione: Prima di segnalare una vulnerabilità, assicurati di aver letto e compreso le linee guida del programma di bug bounty del tuo target.
• Segui le istruzioni: Segui le istruzioni fornite dal programma per la segnalazione delle vulnerabilità. Ciò include la formattazione del rapporto e la presentazione delle prove.
• Prova e riprova: Assicurati di riprodurre la vulnerabilità in modo consistente e di fornire prove chiare per supportare la tua segnalazione.
• Mantieni la comunicazione aperta: Rispondi tempestivamente alle richieste di informazioni aggiuntive e mantieni la comunicazione aperta con il team del cliente.
• Aggiorna il tuo know-how: Utilizza le segnalazioni rifiutate o informative per migliorare le tue abilità di hacking e aumentare le tue possibilità di successo in futuro.

Segnalare vulnerabilità su HackerOne richiede una combinazione di conoscenze tecniche e abilità di comunicazione. Seguendo questi consigli e mantenendo una buona pratica, puoi aumentare le tue possibilità di successo e contribuire alla sicurezza dei sistemi informatici. Ricorda di continuare a migliorare le tue abilità e di rimanere aggiornato sulle nuove tecnologie e strategie di sicurezza.

Fonte: https://hackerone.com/reports/288800