Mega: Kim Dotcoms Cloud-Dienst bietet bis zu 10.000 Euro für sicherheitskritische Bugs
Stefan Keller, den 3. Februar 2013
Kim Dotcom hat mit Mega einen Cloud-Dienst gestartet, von dem er der Meinung ist, dass dieser absolut sicher sei. Wie selbstbewusst sich das neue Projekt gibt, zeigt eine Aktion, die jetzt gestartet wurde: Geboten werden bis zu 10.000 Euro für das Entdecken von sicherheitskritischen Fehlern.
Bei der Entwicklung von Mega habe die oberste Priorität auf der Sicherheit des Dienstes gelegen, betont Kim Dotcom immer wieder. Nachdem der Geldgeber und Reseller Instra gehackt wurde, wurden Zweifel an diesem Versprechen laut. In einem Weblog-Eintrag beteuert das Projekt nun, dass dies ein Missverständnis war und Mega selbst gar nicht gehackt wurde.
Es habe jedoch drei direkte Angriffe auf Mega gegeben, womit man aber nicht zufrieden sei – man wolle noch viel mehr haben. Deshalb wurde jetzt eine Belohnung für das Auffinden von sicherheitskritischen Bugs ausgesetzt – je nach Schwere des Fehlers gibt es bis zu 10.000 Euro für den ersten, der einen reproduzierbaren, sicherheitstechnischen Fehler im System findet.
Wie in das System eingedrungen wird, ist dabei unerheblich. Möglich seien unter anderem eine entfernte Ausführung von Code auf den eigenen Servern, etwa durch eine SQL-Injection. Im Browser eines Anwenders durch eine XSS-Injection ist ebenfalls möglich. Genauso will Mega seine Verschlüsselung geknackt sehen, um Schlüssel oder Daten zu manipulieren. Gleichfalls erwünscht sind Schritte zum Umgehen der Zugangsbeschränkung oder das Auslesen von fremden E-Mail-Adressen.
Wesentlich länger ist die Liste der Ausschlusskriterien. Ein Opfer soll nicht aktiv werden, um einen Fehler zu provozieren, genauso zählen keine schwachen Passwörter als Bug oder DDoS-Angriffe. Ebenfalls nicht gewertet werden Angriffe auf externe Dienstleister oder Bruteforce-Attacken.
Drei Szenerien führt der Weblog-Eintrag an, an denen sich Hacker beispielsweise versuchen sollen. Das Preisgeld gibt es für denjenigen, der als erster den Fehler meldet. Wenn Mega bestätigt hat, dass der Fehler beseitigt ist, darf der Finder damit gerne an die Öffentlichkeit treten. Ein solcher Bug soll an die E-Mail-Adresse für allgemeine Programmfehler gesendet werden.