bug bounty

Fonte: Wikipedia.

Molte aziende offrono un bug bounty, ossia dei premi a chi riesce a trovare delle falle informatiche nei loro prodotti e le comunica correttamente alle aziende in questione. Sono poche, però, le case automobilistiche che offrono bug bounty a chi scopre falle nel software delle loro auto.

Pochi giorni fa Tesla ha aggiornato la propria policy di sicurezza per consentire formalmente ai ricercatori esterni all’azienda di andare a caccia di vulnerabilità nel firmware delle auto di questa marca: se durante le loro ricerche l’auto diventasse inservibile, Tesla provvederà a ripristinarne il software, e in ogni caso non ci saranno conseguenze legali e le garanzie del fabbricante resteranno valide.

Ci sono alcuni requisiti: i ricercatori devono preregistrarsi presso Tesla insieme all’esemplare di auto sul quale vengono effettuate le ricerche. Eventuali falle trovate dovranno essere rivelate pubblicamente rispettando le linee guida concordate con Tesla, che dovrà avere un tempo ragionevole per risolverle prima che vengano divulgate. Infine, i ricercatori non dovranno accedere ai dati di terzi e non dovranno mettere in pericolo le proprie auto.

I rapporti fra Tesla e la comunità hacker erano già piuttosto buoni: la sperimentazione era incoraggiata e comunque le auto elettriche dell’azienda erano già oggetto di forte interesse di ricerca, sia per la natura interessante del bersaglio, sia perché scoprire una falla nel software di una Tesla è un ottimo modo per conquistarsi molta attenzione mediatica. Ma c’era sempre la spada di Damocle delle leggi che riguardano l’hacking (le DMCA e CFAA statunitensi, per esempio), che esponeva i ricercatori al rischio di subire azioni legali molto costose.

Ora i ricercatori saranno ancora meno riluttanti, e questo contribuirà a migliorare la sicurezza del software delle auto. Soprattutto, si spera, ridurrà il rischio che qualcuno venda le proprie scoperte al crimine organizzato: Tesla prevede anche premi in denaro.

I primi risultati si sono già visti: dei ricercatori belgi hanno scoperto una falla grave nella sicurezza delle chiavi elettroniche delle Tesla che permetteva di acquisirne i codici e rubare le auto. Hanno informato Tesla, che ha diffuso un aggiornamento correttivo alla propria flotta, e sono stati ricompensati con 10.000 dollari.

Fonte aggiuntiva: The Register.