¿Por qué Oracle es hostil a los investigadores de seguridad que prueban Java contra vulnerabilidades?

Mary Ann Davidson, quien publicó la publicación de blog a la que hizo referencia, ha pasado los últimos años promoviendo apasionadamente la necesidad de una mejor seguridad de software, mejores prácticas de desarrollo para garantizar la seguridad, mejores herramientas para brindar a los desarrolladores de software una detección temprana, mejores procesos para tratar problemas de seguridad con cuidado, y así sucesivamente.

En los últimos años, trabajé con ella en Oracle (nota: ya no estoy allí) , y típicamente cuando trabajaba con ella, era porque algo malo había sucedido con uno de los productos que administraba, y por lo tanto Para empezar, siempre fue una situación incómoda (¡para mí y mi equipo!) . Sin embargo, siempre se centró en un resultado constructivo en el que nuestros clientes y nuestros productos estuvieran mejor protegidos, y fundamentalmente más sólidos desde el punto de vista de la seguridad.

Ella ha trabajado estrechamente con muchas investigaciones de seguridad diferentes a lo largo de los años, por lo que la suposición de “hostil” de la pregunta es pobre. Si bien la publicación del blog en cuestión fue un desastre, no es la primera persona en el mundo en publicar algo en un momento de frustración. Es lamentable que muchas personas la juzguen por esta publicación de blog, y no por la sustancia de sus muchos años de trabajo.

Entiendo lo que dice la OSC, no es que sean hostiles a las pruebas, hay un sistema para enviar vulnerabilidades, es que no están contentos de que ningún cliente, incluidos los investigadores de seguridad y los niños de script, rompa el acuerdo de licencia al ingeniería inversa del código.

Como dijo Quora User en otras respuestas, es que muchas veces nunca puedes trabajar con el código fuente real, trabajas con la salida compilada y el ensamblaje.

Por lo tanto, puede analizar y utilizar herramientas contra la salida compilada, pero no cumple con la licencia que acordó si realiza una ingeniería inversa del código.

Sin embargo, me gustó el comentario que hizo sobre cómo Oracle encuentra el 87% de las vulnerabilidades de seguridad, los investigadores de seguridad solo encuentran el 3% y los clientes encuentran el resto.

Independientemente de los porcentajes, creo que es una buena idea tener un programa de recompensas de errores, de esa manera hay más incentivos para entregar errores, y es un gesto de buena voluntad para toda la comunidad de infosec y piratas informáticos.