United zahlte seinen ersten Airline-Bug-Bounty in Flugmeilen, nicht in Bargeld

Zwei Monate, nachdem United Airlines ein Bug-Bounty-Programm gestartet hatte, um Forscher zu belohnen, die Schwachstellen auf der Website und in den Apps des Unternehmens melden, erhielt der Sicherheitsforscher Jordan Wiens als erste Belohnung 1 Million Flugmeilen. Er hatte Details einer Remote-Code-Execution-Schwachstelle auf der Website der Fluggesellschaft eingereicht, und die Gutschrift erschien auf seinem Meilenkonto.

United ist die erste Fluggesellschaft, die ein Bug-Bounty-Programm startet; angekündigt wurde es im Mai 2015 nach scharfer Kritik dafür, dass sie einen Sicherheitsforscher von einem ihrer Flüge ausgeschlossen hatte. Die Auszahlungsstruktur ist ungewöhnlich: Die meisten Prämienprogramme von Anbietern zahlen Bargeld zwischen 500 und 250.000 US-Dollar, United zahlt jedoch nur Flugmeilen. Der Barwert von Wiens' einer Million Meilen lag bei etwa 25.000 US-Dollar.

Die Meilen skalieren mit dem Fehler. Cross-Site-Scripting bringt 50.000 Meilen, eine Umgehung der Authentifizierung kann 250.000 einbringen, und Remote-Code-Execution-Schwachstellen – die es einem Angreifer ermöglichen, aus der Ferne beliebigen Schadcode auszuführen – erzielen die höchste Auszahlung. Wiens, der zuvor noch nie bei einem Bug-Bounty-Programm eingereicht hatte, sagte, er habe zwei Fehler eingereicht, von denen er ziemlich sicher war, dass es sich um Remote Code Execution handelte, die er aber für „lahm“ hielt, und habe 50.000 Meilen oder etwas Kleineres erwartet; nachdem er bestätigt hatte, dass er US-Bürger ist und seine Forschung in den USA durchgeführt wurde, teilte United ihm mit, er solle sein Meilenkonto prüfen.

Prämien in einer Währung zahlen, die die Fluggesellschaft selbst prägt: Eine Million Meilen liest sich wie etwa 25.000 US-Dollar und macht Schlagzeilen, ohne dass Bargeld aus dem Sicherheitsbudget fließt.

Das Programm verwandelte eine feindselige Beziehung in eine Pipeline: Es wurde direkt nach der Kritik angekündigt, dass United einen Forscher von einem Flug ausgeschlossen hatte.

Meilen sind ein Vermögenswert, den United selbst ausgibt, sodass eine Schlagzeilen-Belohnung im Wert von etwa 25.000 US-Dollar kein Bargeld kostet – während konkurrierende Programme bis zu 250.000 US-Dollar pro Fehler auszahlen.

Die Schwere in Meilen zu bepreisen – 50.000, 250.000, höchste Prämie für Remote Code Execution – gibt Forschern einen öffentlichen Wechselkurs dafür, welche Fehler es sich zu verfolgen lohnt.

Es wirkte beim ersten Kontakt: Ein erstmaliger Bounty-Einreicher fand eine Remote-Code-Execution-Schwachstelle und erhielt innerhalb von zwei Monaten nach dem Start die erste Belohnung des Programms.

Der Schlagzeilenwert einer Prämie und ihre Kosten für den Zahler müssen nicht übereinstimmen: Zahle in einem Vermögenswert, den du selbst prägst, halte die Belohnung groß genug, um von Bedeutung zu sein, und halte Bargeld aus dem Geschäft heraus.

Wiens' Auszeichnung von einer Million Meilen war die erste Belohnung des Programms, vergeben etwa zwei Monate nach dem Start im Mai 2015. United verlangte von den Einreichern, vor der Auszahlung ihre Berechtigung zu bestätigen – US-Staatsbürgerschaft und in den USA durchgeführte Forschung.