[vladi63]

Vergangene Woche hat in Las Vegas die Doppel-Konferenz Defcon/Black Hat stattgefunden, mit dabei waren Hacker und Sicherheitsexperten aus der ganzen Welt. So "günstig" wie der Niederländer Olivier Beg ist aber wohl kaum einer in die Casino-Metropole gekommen, der 19-Jährige hat den ganzen Flug mit (legal) "erhackten" Bonusmeilen bezahlt. Der erst 19 Jahre alte Sicherheitsexperte Olivier Beg hat für den Hin- und Rückflug von Amsterdam nach Las Vegas im Prinzip nichts bezahlt - einzige Ausnahme waren fünf Euro für eine Flughafengebühr, die er aus eigener Tasche zahlen musste, wie Naked Security unter Berufung auf das niederländische Staatsfernsehen NOS berichtet.

Die Flüge selbst bezahlte er mit Bonusmeilen der US-Fluggesellschaft United Airlines. Denn diese hat vor gut einem Jahr ein "Kopfgeld"-Programm gestartet, dabei wird das Auffinden und Melden von Schwachstellen mit bis zu einer Million Bonusmeilen belohnt. United war das erste Unternehmen, das nicht der IT-Branche zugerechnet wird, das ein derartiges Programm initiiert hat.

Beg konnte zwar keine Schwachstelle finden, die ihm eine Million Meilen eingebracht hat, dafür etwa 20 Schwachstellen, die etwas weniger wert waren, in Summe aber dennoch mehr als genug. Die wertvollsten Lücken brachten ihm jeweils 250.000 Meilen ein. Um welche Art von Schwachstellen es sich dabei gehandelt hat, durfte der junge Mann nicht verraten, in diese Kategorie fallen laut Naked Security das Umgehen von Logins, Brute-Force-Attacken und Löcher, die zur Folge haben, dass persönliche Informationen, darunter Passwörter, entwendet werden könnten.

Remote Code Execution am wertvollsten
Eine Million Meilen bezahlt United Airlines für Angriffsszenarien, die Remote Code Execution (RCE) beschreiben, also bei denen aus der Ferne Schadcode in den Systemen der Fluggesellschaft ausgeführt wird bzw. werden könnte. Es ist bisher zwei Mal der Fall gewesen, dass United einem Sicherheitsexperten die Höchstprämie ausbezahlt hat. Das "Bug Bounty"-Programm von United gilt aber nur für die Webseite und interne United-Seiten, Onboard-Systeme sollen die Hacker nicht anrühren.

Quelle