Twitter zahlt 322.000 Dollar an Finder von Sicherheitslücken

Twitter hat Zahlen zu seinem auf HackerOne gehosteten Prämienprogramm für Sicherheitslücken genannt. In nur zwei Jahren schüttete es exakt 322.420 Dollar aus. In der Zeit gingen 5171 Meldungen zu Sicherheitslücken ein.

Einem Blogbeitrag von Twitter-Entwickler Arkadiy Tetelman zufolge haben sich 1662 Teilnehmer für das Programm angemeldet. Sie erhielten im Schnitt 835 Dollar pro Lücke. Für kleine Schwachstellen zahlt Twitter je 120 Dollar, die höchste Entschädigung bisher betrug hingegen 12.040 Dollar.

Ein einzelner Forscher verdiente mit Twitter-Sicherheitslücken allein im Jahr 2015 die Summe von 54.000 Dollar. Öffentlich gemacht wurden etwa 20 Prozent der Sicherheitslücken – natürlich nachdem das Social Network sie gestopft hatte.

Twitter nennt einige spektakuläre Beispiele für gemeldete Sicherheitslücken, darunter einen HTTP-Response-Fehler, der es Angreifern erlaubte, Opfer auf eine gültige Seite umzuleiten, wobei sie die Header-Informationen manipulieren konnten. In der Anwendung Android Crashlytics steckte eine Cross-Site-Scripting-Anfälligkeit (XSS), und eine einfache direkte Referenz auf ein unsicheres Objekt hätte es Angreifern ermöglicht, alle auf der Plattform hinterlegten Kreditkartendaten zu löschen.

Für eine Schwachstelle, die Code-Ausführung aus der Ferne erlaubt, würde Twitter 15.000 Dollar zahlen, bisher wurde aber keine gemeldet. Zusätzlich zu dem externen Prämienprogramm verfügt Twitter über eine interne Sicherheitsabteilung mit einer Reihe offener Stellen.

Die Sicherheit gilt bisher nicht als eines von Twitters primären Problemen. Dies sind vielmehr das schwache Nutzerwachstum sowie die Verbreitung von Hetze und Gewaltaufrufen. So meldete Twitter im Februar erstmals rückläufige Nutzerzahlen. Ohne die SMS Fast Follower betrug das Minus im Vergleich zum Vorquartal rund 2 Millionen. In den USA griffen eine Million Nutzer weniger auf Twitter zu.

In Frankreich wurde Twitter im Mai wegen Verbreitung homophober und rassistischer Kommentare verklagt: Zwei unabhängige Organisationen registrierten, dass es nur 4 Prozent von insgesamt Dutzenden berechtigten Beschwerden nachging. Der diese Woche von Twitter zusammen mit EU-Kommission, Facebook, Google und Google erarbeitete Verhaltenskodex verspricht nun aber eine Verbesserung der Situation.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de