United a versé sa première prime de bug bounty en miles aériens, pas en espèces

Deux mois après le lancement par United Airlines d'un programme de bug bounty visant à récompenser les chercheurs qui signalent des failles sur le site web et les applications de l'entreprise, le chercheur en sécurité Jordan Wiens a reçu 1 million de miles aériens, première récompense versée. Il avait soumis les détails d'une faille d'exécution de code à distance sur le site web de la compagnie, et le dépôt est apparu sur son compte de miles.

United est la première compagnie aérienne à lancer un programme de bug bounty, annoncé en mai 2015 après de vives critiques pour avoir interdit de vol un chercheur en sécurité. La structure des paiements est inhabituelle : la plupart des programmes de primes des éditeurs versent des espèces dont le montant varie entre 500 et 250 000 dollars, mais United ne paie qu'en miles aériens. La valeur en espèces du million de miles de Wiens était d'environ 25 000 dollars.

Le nombre de miles est proportionnel à la faille. Une faille de cross-site scripting rapporte 50 000 miles, un contournement d'authentification peut en rapporter 250 000, et les failles d'exécution de code à distance — qui permettent à un attaquant d'exécuter à distance le code malveillant de son choix — donnent droit à la prime maximale. Wiens, qui n'avait jamais soumis de rapport à un programme de bug bounty auparavant, a déclaré avoir soumis deux failles qu'il pensait être des exécutions de code à distance mais qu'il jugeait « médiocres », en s'attendant à 50 000 miles ou à quelque chose de moindre ; après avoir confirmé qu'il était citoyen américain et que ses recherches avaient été menées aux États-Unis, United lui a dit de vérifier son compte de miles.

Verser les primes dans une monnaie que la compagnie aérienne émet elle-même : un million de miles est présenté comme valant environ 25 000 dollars et fait les gros titres, sans débourser d'espèces sur le budget sécurité.

Le programme a transformé une relation hostile en un canal d'entrée : il a été annoncé juste après que United a été critiquée pour avoir interdit de vol un chercheur.

Les miles sont un actif que United émet elle-même, si bien qu'une récompense très médiatisée valant environ 25 000 dollars ne coûte aucune espèce — alors que les programmes concurrents versent jusqu'à 250 000 dollars par faille.

Facturer la gravité en miles — 50 000, 250 000, prime maximale pour l'exécution de code à distance — donne aux chercheurs un taux de change public pour savoir quelles failles valent la peine d'être recherchées.

Cela a fonctionné dès le premier contact : un soumissionnaire de prime pour la première fois a trouvé une faille d'exécution de code à distance et a reçu la première récompense du programme dans les deux mois suivant son lancement.

La valeur affichée d'une prime et son coût pour celui qui paie n'ont pas besoin de correspondre : payez dans un actif que vous émettez vous-même, maintenez la récompense suffisamment importante pour compter, et gardez les espèces hors de l'accord.

La récompense d'un million de miles de Wiens a été la première du programme, versée environ deux mois après le lancement de mai 2015. United exigeait des soumissionnaires qu'ils confirment leur éligibilité — citoyenneté américaine et recherches menées aux États-Unis — avant de verser la récompense.