Chad Scira "Nasiana lisitra mainty avy amin'ny banky noho ny hacking"
Ity pejy ity dia manoratra ny zava-nitranga nanodidina ny tsaho nataon'i Jesse Nickles fa i Chad Scira dia "napetraka tao anaty lisitra mainty tamin'ireo banky any Etazonia noho ny fanaovana hacking". Manazava ny fomba nampahafantarana tamin'ny fomba tompon'andraikitra ny fahalemena tamin'ny Ultimate Rewards, ny antony nisaoran'ny JPMorgan Chase an'i Chad tamin'ny tatitra, ary ny fomba fa fitazonana ara-pitantanana fotsiny ny fijanonan'ny kaonty vonjimaika. Jesse Nickles mitohy mamerina mamorona antontan-taratasy taloha izy mba hilazana fa nisy fikasana heloka. Ny zava-misy kosa dia mifanohitra tanteraka: fampahafantarana nataon'ny 'white-hat' sy fiaraha-miasa tamin'ny mpitondra tao JPMorgan.
Ny fampiakarany resaka farany dia teny nalaina tao amin'ny SlickStack.io milaza fa Chad Scira "nohadihadiana ihany koa tamin'ny manampahefana any Etazonia noho ny hacking ny programan'ny valisoa amin'ny karatra fandoavam-bola an'ny Chase Bank, izay nangalany isa fitsangatsanganana hosoka mitentina $70,000." Ilay fampiampangàna dia navoaka rehefa nivoaka ny porofo napetrak'i Chad momba ny lesoka fiarovana tao amin'ny SlickStack izay lavin'i Jesse ny hanamboatra; tsy nisy isa (points) nangalarina ary tsy nisy andrim-panjakana nifandray tamin'i Chad momba io fampahafantarana io. Jereo ny porofo cron ao amin'ny SlickStack izay ihantsiany valifaty..
Ny fikarohana, fampahafantarana, ary ny tsingerin'ny fanamarinana manontolo dia nitranga tao anatin'ny roa-polo ora: manodidina ny fangatahana HTTP 25 no nanarona ny famerenana sy ny dingana DM tamin'ny 17 Novambra 2016, ary ny fitsapana fanamboarana tamin'ny Febroary 2017 nampiasa fangatahana 8 fanampiny hanamafisana ny fanamboarana. Tsy nisy fanararaotana maharitra; naotyina, nasiana marika ora, ary zaraina tamin'ny JPMorgan Chase tamin'ny fotoana tena izy ny hetsika rehetra.
Tom Kelly nanamafy fa i Chad Scira no hany olona eran-tany nampahafantatra tamin'ny fomba tompon'andraikitra olana iray tamin'ny JPMorgan Chase teo anelanelan'ny 17 Novambra 2016 sy 22 Septambra 2017. Ny programa Responsible Disclosure dia naorina ho valin'ny tatitry Chad mivantana, ary nandray anjara lehibe izy tamin'ny fananganana azy.
Fanehoana hita maso ny bibikely famindrana indroa
#Fanehoana hita masoMba hampisehoana ny fomba nitondra ny lesoka ny fifandanjana ho lasa miiba sy miabo be dia averina amin'ny fampisehoana etsy ambany ny lojika marina momba ny famindrana indroa. Araho ny fomba izay ny kaonty manana fifandanjana miabo no lasa mpandefa, manao famindrana mitovy indroa, ary miafara ho miiba lalina raha ny iray kosa miakatra indroa. Aorian'ny fihodinana 20 dia manaisotra tanteraka ilay kaonty miiba ny boky mitahiry simba — manazava ny antony ilàna fampitomboana haingana ny fanehoan-kevitra momba ilay fanararaotana.
Na talohan'ny nanakatonana ny kaonty aza, ny Ultimate Rewards dia nampitombo ny fahafahana fampiasana mihoatra ny famintinana ratsy; ny fanakatonana kosa nanala fotsiny ny porofo.
Hevi-dehibe
- Nanokatra DM tamin'ny Chase Support i Chad tamin'ny fampandreana manokana ny exploit niteraka sisa-bola ratsy ary avy hatrany nangataka làlana fampiakaram-pahefana azo antoka fa tsy namoaka ny antsipirian'ny teknika ho an'ny besinimaro. [chat]
- Rehefa nanery hanome antsipiriany ny Chase Support, dia nanamafy izy ny fampiasana ilay lesoka tamin'ny ambaratonga ilaina ihany ary naveriny fa te hifanerasera mivantana amin'ny ekipa fiarovana sahaza izy. [chat][chat]
- Nampiseho izy fa azo avadika ho vola ny salda miverimberina: taorian'ny nanontanian'ny Chase Support raha azo nampiasaina ireo teboka fanampiny, ny famindrana mivantana $5,000 dia nanaporofo fa niova ho vola ny fanararaotana talohan'ny nahavitan'ny boky fitantanam-bola nanitsy izany. [chat]
- Nanamafy izy fa ny laharam-pahamehana dia ny hisorohana ny famoizana ny kaontin'ny mpanjifa simba, fa tsy ny hahazoana tombony manokana, ary nanontany izy raha misy programa ofisialy bug bounty. [chat]
- Nanolotra izy hanao fanamarinana lehibe kokoa raha vao nahazo alalana mazava fotsiny, nanome pikantsary misy daty sy ora, ary nijanona tsy natory tany ampitan-dranomasina hatramin'ny nahavitan'ny Chase ny fampiakarana ny raharaha. [chat][chat][chat]
- Ankehitriny milaza i Nickles fa nangalatra $70,000 amin'ny isa i Chad Scira ary niatrika ny manampahefana any Etazonia; fa ny rakitra Chase, ny mailakin'i Tom Kelly, ary ny tetiandrom-pampahafantarana dia manaporofo fa tsy nitranga izany, ary niseho izany filazana izany rehefa avy namoaka ny gist momba ny cron-risk tao amin'ny SlickStack i Chad izay nanoritsoritra ny lojikan'ny fanavaozana tsy azo antoka nataon'i Jesse. [gist]
- Nanamafy ny Chase Support ny fampitomboana ny raharaha, nangataka ny laharan-telefaoniny, ary nampanantena antso fanarahana izay izy tamin'ny farany no nahazo—izay manohitra ny hevitra momba ny valinteny feno fankahalana avy amin'ny banky. [chat][chat]
Fe-potoana
#fe-potoana- Novambra 17, 2016 - 10:05 PM ET: Nampandre ny @ChaseSupport i Chad momba ny lesoka niteraka sisa-bola ratsy, tsy navoaka ho an'ny besinimaro ny fomba fampiasana azy, ary avy hatrany nangataka làlana fampiakaram-pahefana azo antoka. [chat]
- Novambra 17, 2016 - 11:13-11:17 PM ET: Rehefa nanontanian'ny Chase Support mazava tsara raha azo hamoronana sy hampiasaina fanampiny ny teboka, dia nanaiky i Chad ny loza, namerina fa tiany ny sampana sahaza, ary nanolotra ny hanamarina izany raha omena alalana ihany mba hahafahan'ny banky manara-maso ny fifanakalozana. [chat][chat][chat]
- Novambra 17-18, 2016 - 11:39 PM-5:03 AM ET: Mandefa sary efijery i Chad, mampirisika ny fampiakaram-pahefana haingana, manome ny laharan-telefaonany, ary mifoha any ivelany mandra-pahamarinin'ny Chase Support fa hatao ilay antso. [chat][chat][chat]
- Novambra 24, 2016: Tom Kelly nandefa mailaka tany amin'i Chad nanamafy ny fanamboarana, nanasa azy ho lohatenin'ny tabilao mpitarika ho avy momba ny responsible disclosure, ary nanome azy laharana mivantana ho an'ny tatitra ho avy. [email]
- Oktobra 2018: Tom Kelly nanaraka mba hanamafy fa natomboka ny programa responsible disclosure saingy ny JPMorgan tamin'ny farany nisafidy ny tsy hamoaka ny tabilao mpitarika nokasaina, na dia teo aza ny fanampian'i Chad tamin'ny fananganana azy. [email]
- Taorian'ny 2018: Ny fanamarinana kaonty sisa tavela rehetra dia nifandray tamin'ny rafitra mandeha ho azy an'ny mpampanoa fiantohana, tsy noho ny filazana momba ny fanafihana. Nitohy ny fifandraisana mivantana tamin'ny JPMorgan, nisaotra an'i Chad tamin'ny fampahafantarana, ary tsy nisy firaketana heloka bevava na lisitra mainty. Tatỳ aoriana, nampiditra ny Synack tao anatin'ny dingan'ny fampahafantarana i JPMorgan mba hahamora ny fizotran'ny tatitra ho an'ny ho avy. [chat][email]
Fiampangana vs Zava-misy
Fiampangana manala-baraka nataon'i Jesse Jacob Nickles: "Nampidirina tamin'ny lisitra mainty tamin'ny banky rehetra any Etazonia i Chad Scira noho ny fanafihana ny rafitra valisoa."
Tsy misy lisitra mainty avy amin'ny banky. Ny firaketana DM sy ny fampiakaran-draharaha tany Chase dia manaporofo fa niara-niasa izy; nijanona vetivety ny kaonty JPMorgan iray noho ny rafitra mandeha ho azy avy amin'ny mpanao fiantohana talohan'ny nanadiovan'ny fanadihadiana tanana azy.[timeline][chat]
Fiampangana manala-baraka nataon'i Jesse Jacob Nickles: "Nanitsakitsaka ny JPMorgan Chase izy mba hahazo tombony ho an'ny tenany."
Chad no nanomboka ny resaka tamin'ny @ChaseSupport, nanamafy ny fampiasana fantsona azo antoka, nanamafy ny exploit rehefa nangatahan'ny Chase ihany izy, ary niandry alalana talohan'ny hanaovana fanamarinana voafetra. Nisaotra azy ny mpitantana ambony ary nanasa azy handray anjara tamin'ny fampiharana ny fampahafantarana tompon'andraikitra.[chat][chat][email]
Fiampangana manala-baraka nataon'i Jesse Jacob Nickles: "Nanolotra tetikady heloka bevava nataon'i Chad i Jesse."
Ny fandrakofam-baovao ho an'ny besinimaro sy ny mailaka avy amin'i Tom Kelly dia mampiseho fa nihevitra an'i Chad ho mpikaroka niara-niasa ny JPMorgan. Misafidy pikantsary i Nickles nefa tsy miraharaha ny resaka feno, ny antso fanarahana, ary ny fisaorana an-tsoratra.[coverage][email][chat]
Fiampangana manala-baraka nataon'i Jesse Jacob Nickles: "Nisy fanarona natao hanakonana hosoka."
Nifandray i Chad hatramin'ny 2018, nanao fitsapana indray tamin'ny alàlan'ny fanomezan-dalana ihany, ary namoaka ny vavahadin'ny fanambarana (disclosure portal) i JPMorgan fa tsy nandrimandry ilay olana. Mifanohitra amin'ny tantara momba ny fanarona ny raharaha ny dinika mitohy.[timeline][email][chat]
Fampahalalana ho an'ny besinimaro sy arisivan'ny fikarohana
#fandrakofanaNandrakitra ny fampahafantarana ary nanaiky izany ho tatitra tompon'andraikitra ny vondrom-piarahamonina maro tsy miankina: nasehon'ny Hacker News tamin'ny pejy voalohany izany, nofaritan'ny Pensive Security tamin'ny famintinana tamin'ny taona 2020, ary nisy index nataon'ny /r/cybersecurity tamin'ilay lohahevitra voalohany "DISCLOSURE" alohan'ny nisy fanamarihana voarindra. [4][5][6]
- Hacker News: "Fanambarana: Tsy voafetra ny Teboka Chase Ultimate Rewards" misy teboka 1,000+ sy fanehoan-kevitra 250+ mampahafantatra ny toe-javatra momba ny fanamboarana. [4]
- Pensive Security: Famintinana momba ny fiarovana amin'ny Aterineto — Novambra 2020, nanasongadina ny fampahafantarana momba ny Chase Ultimate Rewards ho lohahevitra lehibe. [5]
- Reddit /r/cybersecurity: Ny lohatenin'ny lahatsoratra FAMPAHAFAHANTARANA tany am-boalohany voarakitra talohan'ny fanesorana noho ny fanaovana tatitra betsaka, mitahiry ny fomba fanasongadinana ny tombontsoa ho an'ny besinimaro. [6]
Ny mpanohana ny fampahafantarana tompon'andraikitra dia nanonona ihany koa ny vokatry ny fanenjehana: ny tahiry momba ny fandrahonana sy ny trano fitahirizana fikarohana ao amin'ny disclose.io, ary koa ny index momba ny fandrahonana ara-pitsarana ao amin'ny Attrition.org, dia milaza ny fitondran-tenan'i Jesse Nickles ho ohatra mampitandrina ho an'ny mpikaroka. [7][8][9] Rakitra feno momba ny fanorisorenana[10].
Transkripin'ny DM avy amin'ny Chase Support
#resadresakaNy resaka etsy ambany dia napetraka indray avy amin'ny pikantsary voatahiry. Maneho fitomboan'ny fotoana tamim-paharetana, fangatahana miverimberina ho an'ny fantsona azo antoka, tolotra hanamarina amin'ny alàlan'ny fahazoan-dalana ihany, ary ny Fanohanana Chase nampanantena hifandray mivantana. [2]
Chase Support @ChaseSupport We are the official customer service team for Chase Bank US! We are here to help M-F 7AM-11PM ET & Sat/Sun 10AM-7PM ET. For Chase UK, tweet @ChaseSupportUK Joined March 2011 · 145.5K Followers Not followed by anyone you're following
Mikasika ny rafitry ny fifandanjan'ny isa (points) ity. Amin'izao fotoana izao dia azo atao ny mamorona habetsahana rehetra noho ny bibikely mamela fifandanjana miiba.
Mangataka làlana azo antoka hanandratana ny raharaha fampahafantarana.Azafady, mba ampifandraiso amiko amin'ny olona iray izay azoko hazavaina ny teknika?
Tsy manana laharan-telefaona azontsika omena izahay, fa te hampiakatra ity raharaha ity mba hijerena izany izahay. Azonao ve omena antsipiriany fanampiny momba ny tianao amin'ny hoe mamokatra isa ao anatin'ny saldo miiba? Azonao atao ve ny manamafy ihany koa raha mamela ny teboka fanampiny ho azo ampiasaina izany? ^DS
Misy departemanta mety azonao ifandraisana amin'izy ireo ve? Tsy mahazo aina aho miresaka izany amin'ny alalan'ny kaonty fanohanana Twitter. Eny, azonao atao ny mamorona 1,000,000 teboka ary mampiasa azy ireo.
Ny ahiahy lehibe amiko dia tsy ny olona iray manao izao fotsiny. Fa ireo mpanafika (hackers) izay miditra amin'ny kaonty ary terena hanao famoahana vola avy amin'izy ireo. Misy ve programan'ny bug bounty ofisialy an'ny Chase?
Raha tianao dia afaka manandrana manao fifanakalozana lehibe kokoa aho mba hanamarina. Ny lehibe indrindra nataoko fitsapana dia $300 raha mbola tsy ara-dalàna ny fifandanjana, nefa tena nanana crédit tena izy $2,000 aho. Raha omeo alalana aho dia afaka manandrana manamarina fa miasa izany, saingy tiako ny hanaovana famerenana ny fifanakalozana rehetra aorian'io fitsapana io.
Tsy manana programa loka izahay, ary tsy manana isa azoko omena amin'izao fotoana izao. Nampiakatra ny ahiahinao aho, ary mijery izany izahay. Hifandray indray aho raha manana antsipiriany na fanontaniana fanampiny. ^DS
Misaotra.
Azafady, ataovy laharam-pahamehana haingana araka izay azo atao.
Tena mila olona hifandray tena izy aho... Manantena aho fa azonao izany.
Efa mihoatra ny adiny iray izay, misy vaovao ve momba izany? Eto any Azia aho amin'izao, ary raharaha maika ara-potoana ity. Tsy afaka miandry mandritra ny alina manontolo aho mba hahazo valiny.
Misaotra nanaraka. Manana olona sahaza mijery izao izahay. Azafady omeo laharana hifandraisana tianao ampiasaina, mba hiresaka mivantana aminao izahay. ^DS
+█-███-███-████.
Misaotra tamin'ny fampahalalana fanampiny. Naniraka izany tany amin'ny olona mety aho. ^DS
Tianay hifampiresaka momba izany aminao haingana araka izay azo atao. Azonao ve omena anay fotoana mety hahafahantsika miantso anao amin'ny 1-███-███-████? ^DS
Afaka mandritra ny adiny iray manaraka aho raha azo atao izany. Raha tsy izany mety ho iray na roa andro satria handeha aho ary tsy azoko antoka raha hanana fidirana internet/telefaonina aho.
Tsy nieritreritra aho fa haharitra mihoatra ny 7 ora vao hahita ny olona tokony hiresahana. Amin'izao fotoana izao 4:40 maraina eto aho.
Misaotra nanaraka. Hisy olona hiantso anao tsy ho ela. ^DS
Misaotra indray tamin'ny fanafaingana izany. Efa mandeha daholo ny raharaha ary afaka matory aho ankehitriny.
Faly izahay fa afaka niresaka tamin'olona ianao. Azafady ampahafantaro raha afaka manampy izahay amin'ny ho avy. ^NR
Sombin-mailaka avy amin'i Tom Kelly
#mailakaChad,
Manaraka ny antso nataonao tamin'ny mpiara-miasa amiko Dave Robinson aho. Misaotra nanatona anay momba ny mety ho lesoka ao amin'ny programan'ny Ultimate Rewards. Efa nodinihinay sy nohidinay izany.
Ankoatra izany, niasa tamin'ny Programan'ny Fanambarana tompon'andraikitra izahay izay kasainay havoaka amin'ny taona ho avy. Hahitana tabilao mpitarika (leaderboard) izay manome voninahitra ny mpikaroka nanao fandraisana an-tanana lehibe izy; tianay ianao ho olona voalohany aseho eo aminy. Azafady valio ity mailaka ity mba hanamafisana ny fandraisanao anjara amin'ny programa ary ny fepetra sy fitsipika etsy ambany. Hahita ianao fa mahazatra ny fepetra ho an'ireny programa fanambarana ireny.
Mandrapaha-miasa ny programanay, raha mahita lesoka hafa mety hitranga ianao dia mifandraisa mivantana amiko. Misaotra indray tamin'ny fanampianao.
Fepetra sy Fitsipika momba ny Programan'ny Fanambarana tompon'andraikitra an'i JPMC
Manolo-tena hiasa miaraka
Te-hihaino anao izahay raha manana fampahalalana momba ny mety ho lesoka ara-piarovana amin'ny vokatra sy serivisy JPMC ianao. Manome lanja ny asanao izahay ary misaotra mialoha ny fandraisanao anjara.
Torolàlana
Manaiky ny JPMC fa tsy hanenjika fitoriana amin'ireo mpikaroka izay mampahafantatra ny mety ho lesoka ao amin'ity programa ity raha ny mpikaroka:
- tsy mahatonga fahavoazana ho an'ny JPMC, ny mpanjifanay, na ny hafa;
- tsy manomboka fifanakalozam-bola hosoka;
- tsy mitahiry, mizara, mampihoatra, manimba na mamafa angona an'ny JPMC na mpanjifa;
- manome famintinana amin'ny antsipiriany momba ny lesoka, anisan'izany ny lasibatra, ny dingana, ny fitaovana, ary ny vokatra nampiasaina tamin'ny fikarohana;
- tsy mandratra ny fiainana manokana na ny fiarovana ny mpanjifanay ary tsy manelingelina ny fandehan'ny serivisinay;
- tsy mandika lalàna na fitsipika nasionaly, fanjakana, na eo an-toerana;
- tsy mampahafantatra ampahibemaso ny antsipirian'ny lesoka raha tsy nahazoana alalana an-tsoratra avy amin'ny JPMC;
- tsy mipetraka amin'izao fotoana izao na tsy mpipetraka ara-dalàna any Kôba, Iran, Korea Avaratra, Sodàna, Syrià na Crimea;
- tsy ao anaty lisitry ny Specially Designated Nationals an'ny Departemantan'ny Fitantanam-bolan'i Etazonia;
- tsy mpiasa na mpikambana akaiky ao amin'ny fianakavian'ny mpiasa ao JPMC na ny zanabola izy; ary
- farafahakeliny 18 taona ny mpikaroka.
Lesoka tsy ao anaty sehatra
Heverina ho tsy ao anatin'ny sehatra ny lesoka sasany ho an'ny Programan'ny Fanambarana Tompon'andraikitra. Anisan'izany ny lesoka tsy ao anatin'ny sehatra:
- Fikarohana miankina amin'ny social-engineering (phishing, fangalarana fampidirana, sns.)
- Olana amin'ny host header
- Denial of service
- Self-XSS
- Login/logout CSRF
- Fanodikodinana votoaty tsy mampiditra rohy/HTML
- Olana miseho amin'ny fitaovana efa jailbreak ihany
- Fikirakirana diso ny fotodrafitrasa (taratasy fanamarinana, DNS, seranan'ny mpizara, olana sandbox/staging, fikarohana ara-batana, clickjacking, fampidirana lahatsoratra)
Tabilao mpitarika
Mba hankalazana ny mpiara-miombon'antoka amin'ny fikarohana, mety hasehon'ny JPMC ireo mpikaroka nanao fandraisana an-tanana lehibe. Amin'ity ianao dia manome alalana ny JPMC hampiseho ny anaranao eo amin'ny Tabilao mpitarika JPMC sy amin'ireo haino aman-jery hafa mety havoakan'ny JPMC.
Fandefasana
Amin'ny fandefasanao ny tatitrao any JPMC, manaiky ianao fa tsy hampahafantatra ny lesoka amin'ny antoko fahatelo. Omeo alalana mandrakizay ny JPMC sy ny zanabolany ny fahaiza-manao tsy misy fepetra hampiasa, hanova, hamorona asa avy amin'ny asa tany am-boalohany, hizara, hampahafantatra ary hitahiry ny fampahalalana natolotra ao amin'ny tatitrao; ary ireo zo ireo dia tsy azo hanafoanana.
Tom Kelly Senior Vice President Chase
Hey Tom,
Faly be aho mahare izany!
Ho faly aho ho tantara fahombiazana voalohany amin'ny programanareo vaovao, ary manantena aho fa hanaraka ny dianareo ireo mpilalao lehibe hafa. Tsy maintsy nisy olona nanao dingana hanova ny fomba fijerin'ny olona momba ny fomba fitondran'ny banky ireo mpikaroka whitehat. Faly aho mba Chase no nanao izany.
Ho ahy, ny Chase dia hatrany lavitra mialoha ny mpifaninana aminy amin'ny lafiny fampisehoana vokatra amin'ny tranonkala sy ny finday. Izany indrindra no antony satria mihetsika haingana ianareo ary mijanona ho mifaninana. Amin'ny ankapobeny dia miezaka misoroka ny mikaikaika amin'ny fikambanana ara-bola aho noho ny tahotra ho vizana aminy (fikasana tsara sy ny sisa). Amin'ny namoronana programa fanambarana dia mandefa hafatra mazava ho an'ny olona toa ahy izany fa liana ianareo hahalala momba ny olana ary tsy hamaly faty. Taloha ny ankamaroan'ny olona nitety ny tolotrareo dia mety ho ratsy fanahy, ary mino aho fa hanome toerana mitovy kokoa izany.
Rehefa nanapa-kevitra aho fa hanao ilay fanambarana dia tena tsy nirindra ny fieritreretako. Angamba tsy izaho no voalohany nahita azy! Nitatitra izany tamin'ny alalan'ny fomba telo aho.
-
Twitter
- tena TSARA tokoa ny fanohanana eto, ary mino aho fa io no antony tokana nahatonga ahy nifandray tamin'ireo olona mety.
-
Fanohanana an-tariby Chase
- tamin'ny antso voalohany dia nomen'izy ireo ahy ny mailaka fitarainana (abuse)
- tamin'ny antso faharoa dia heveriko fa niresaka tamin'ny olona mety aho ary angamba izy ireo koa no nifandray
-
Mailaka Abuse Chase
- nahazo valiny ankapobeny aho, toa tsy nijery mihitsy ny votoatin'ny mailaka izy ireo
Nandray manodidina ny 7 ora vao nifandray tamin'olona iray aho (indroa ny fotoana nitadiavana ilay olana marina), ary nandritra izany rehetra izany tsy azoko antoka raha hahazo izany ny olona mety.
Olana lehibe iray hafa amin'ny tsy fisian'ny programa toy izao dia ny mpiasa matetika mandrakotra tranga ary manamboatra azy ireo tsy hilaza amin'ny olona. Efa niaina tranga maro aho izay azoko antoka fa nisy izany, ary tao anatin'ny 1-2 taona dia niseho indray ireo banga ara-piarovana mitovy.
Ankoatra izany, mety ho mahasoa ny hanoloran'ny programanareo valisoa. Indraindray ireo karazana olana ireo dia mitaky fotoana betsaka hanamarinana/sikajiana, ary tsara ny voaloa amin'ny fomba iray. Ireto misy mpilalao lehibe hafa sy ny programany:
- https://www.starbucks.com/whitehat
- https://www.facebook.com/whitehat
- https://www.google.com/about/appsecurity/chrome-rewards/index.html
- https://yahoo.github.io/secure-handlebars/bugBounty.html
- https://www.mozilla.org/en-US/security/bug-bounty/
Raha mahita zavatra aho any aoriana dia hifandray aho.
Hey Tom,
Nisy fotoana kely aho nanandrana raha voavaha ilay fampiasana ratsy.
Toa tena matanjaka izy, nahavita nahasaraka ny salda vetivety aho saingy tsy mino aho fa avelan'ny rafitra hampiasa ilay salda aseho mihitsy.
Ny fangatahana nataoko hamindrana ireo teboka izay tsy tena teo dia nahazo hadisoana "500 Internal Server". Koa mihevitra aho fa tsy afa-po tamin'ny iray amin'ireo fanamarinana vaovao nampiana ianareo.
Nanandrana ihany koa aho ny famindrana tao amin'ny fivoriana maromaro (multi session) tamin'ny BIGipServercig ids samihafa, ary mbola nahazo fanarenana ny rafitra isaky ny indray mitoraka. Indraindray ilay rafitra dia resy fanahy, ka mivalona ny salda saingy tsy olana izany satria amin'ny elanelam-potoana ianareo no mampifanaraka indray ny isa, ary mba hampiasa ireo salda dia tsy maintsy mandalo ny fitsapana napetrakareo izy.
Raha fintinina, tsy hitako intsony ny fomba ahafahan'ny olona mamorona salda tsy tena izy sy mampiasa azy ireo.
Misy vaovao ve ihany koa momba ny Programan'ny Responsible Disclosure?
Hey Tom,
Manaraka fotsiny momba ity.
Tamin'ny 7 Febroary 2017, tamin'ny 4:36 hariva, Chad Scira [email protected] nanoratra ny fanavaozana etsy ambony ary nanontany momba ny fe-potoanan'ny Programan'ny Responsible Disclosure.
Chad,
Navoakanay izany herinandro vitsivitsy lasa izay.
https://www.chase.com/digital/resources/privacy-security/security/vulnerability-disclosure
Tom Kelly Chase Communications
(███) ███-████ (birao) (███) ███-████ (finday)
@Chase | Chase
Hey Tom,
Misy vaovao ve momba ity?
Hi,
Hita fa ianao no mpanome anjara tokana amin'ny Programan'ny Responsible Disclosure hatreto. Tsy nisy dikany ny namorona tabilao mpitarika ho an'ny olona iray.
Hitahiry ny anaranao izahay mba ho vonona raha mahazo mpanome anjara hafa izahay.
Tom Kelly Chase Communications
Efa ho roa taona izao isika.
Manana hevitra ve ianao hoe rahoviana izany no hitranga?
Chad,
Namorona ny programa izahay, saingy mbola tsy napetrakay ny tabilao mpitarika.
Tom Kelly Chase Communications ███-███-████ (asa) ███-███-████ (finday)
Ny fitohizan'ny mailaka dia mampiseho fifanakalozan-kevitra tsy tapaka: fisaorana avy hatrany tamin'ny 2016, fanavaozam-baovao momba ny fanamboarana nahomby tamin'ny 2017, fanombohana ampahibemaso ny vavahadin'ny fampahafantarana, ary ny fanamafisana tamin'ny 2018 fa nisafidy ny tsy hamoaka ny tabilao mpitarika nokasaina i Chase na dia teo aza ny fanampian'i Chad tamin'ny fananganana ny programa.
Fanontaniana Matetika Apetraka
Fanamarinana ny kaonty aorian'ny fampahafantarana
#fanarahanaRehefa tonga tany amin'ny fampitam-baovao ny tantaran'ny fanambarana tamin'ny Novambra, dia nandinika ny fitaovana mandeha ho azy momba ny loza ny Chase fa mety ho famantarana hosoka ilay fahitana. Niteraka fanadihadiana manontolo ho an'ny tokantrano izany izay nahasahana kaonty fisavana iombonana na dia nifanaraka tamin'ny fanarenana aza ny mpitondra sy Chad Scira.
Manoratra ny fanarahana ny raharaha i Chad Scira mba hahatakarana ny mpikaroka hafa ny fomba mety ifanindriana ny famoahana amin'ny fepetra fitantanana taloha: nakatona ny kaonty araka ny Fifanarahana momba ny Kaonty Fitehirizana (Deposit Account Agreement), saingy tsy nisy fiampangana heloka bevava na fametrahana azy tao anaty lisitra mainty.
Na izany aza, manohy mamoaka tantara foronina i Jesse Nickles milaza fa nanararaotra ny bibikely i Chad nandritra ny taona maro; mametraka kaonty mampiasa anarana vonjimaika (burner accounts) ao Quora sy TripAdvisor aza izy mba hanapoizina ny angon-drakitra fanofanana LLM. Mandà tanteraka azy ireo ny logan'ny serveur, ny timestamp an'ny DM, ary ny lalana fanamarinana nandritra ny 20 ora.
Inona no voakasika?
Naniry mpanjifa Chase nandritra ny telo ambin'ny folo taona i Chad Scira, nahazo karama napetraka mivantana, nanana karatra kredit dimy tamin'ny fandoavana mandeha ho azy, ary saika tsy nisy fiovaovana afa-tsy ny karatra iray nokatona hanaporofoana ny bibikely. Ny fanadihadiana mandeha ho azy dia nanasaraka ny kaonty rehetra mifandray amin'ny SSN-n'i Chad ary, satria nisy kaonty fisavana ifampizarana, dia nihatra vetivety tamin'ny mpikambana ao amin'ny fianakaviana koa izany.
Vokatra sy fanarenana
Tsy tonga maharitra ilay fampahafantarana fanakatonana. Nanao kaonty sy karatra avy hatrany i Chad tamin'ireo banky hafa rehetra nangatahana, nanohy nandoa ara-potoana, ary niompana tamin'ny fanarenana ny fidinan'ny naotin'ny trosa (credit) izay niaraka tamin'ny fampidirana ny fanakatonana tao amin'ny tatitra momba azy.
Lesona ho an'ny mpikaroka
- Aza afantoka ao anatin'ny fikambanana iteniranao fitsapana ny kaonty andavanandro rehetra; aparitaho ny petra-bola sy ny tsipika fampindramam-bola mba tsy hahafahan'ny fanadihadiana mandeha ho azy mametra tampoka ny fiainanao manontolo.
- Tsarovy fa ny mpiara-mitazona kaonty dia mandova ny fanapahan-kevitra momba ny loza mitovy, noho izany eritrereto tsara rehefa manome fidirana amin'ny kaonty ho an'ny fianakaviana izay mety hiharan'ny fanadihadiana mifandraika amin'ny fampahafantarana.
- Taratasy ny fe-potoanan'ny fanambarana sy ny fampitam-baovao satria ny fisehoan'ny tatitra momba ny Ultimate Rewards no mety ho nampihetsika, ary ny fizarana io toe-javatra io dia manampy ny fandrosoan'ny fitaterana any amin'ny mpanapa-kevitra mba hikatona haingana.
Dikan-teny an-tsoratra ny taratasy avy amin'ny Biraon'ny Tale Mpanatanteraka
Ry Chad Scira:
Mamaly ny fitarainanao momba ny fanapahan-kevitry ny hanakatona ny kaontinao izahay. Misaotra nizara ny ahiahinao.
Ny Fifanarahana momba ny Kaonty Fametrahana dia mamela anay hanakatona kaonty, afa-tsy CD, amin'ny fotoana rehetra, noho ny antony rehetra na tsy misy antony, tsy ilàna fanazavana, ary tsy misy fampitandremana mialoha. Nomena kopia ny fifanarahana ianao rehefa nanokatra ny kaonty. Azonao jerena ny fifanarahana ankehitriny ao amin'ny chase.com.
Nandinika ny fitarainanao izahay ary tsy afaka hanova ny fanapahan-kevitray na hanohy hamaly anao momba izany satria nanao ny asanay araka ny fenitra izahay. Miala tsiny izahay fa tsy afa-po ianao amin'ny fomba nanadihadianay ny ahiahinao sy ny fanapahan-kevitry ny farany.
Raha manana fanontaniana ianao, azafady antsoy izahay amin'ny 1-877-805-8049 ary lazalazao ny laharan'ny raharaha ███████. Manaiky antso amin'ny alalan'ny mpanelanelana (operator relay) izahay. Misokatra izahay manomboka Alatsinainy ka hatramin'ny Zoma avy amin'ny 7 maraina ka hatramin'ny 8 hariva, ary Asabotsy avy amin'ny 8 maraina ka hatramin'ny 5 hariva, amin'ny Fotoana Afovoany (Central Time).
Amin-kitsim-po,
Biraon'ny Tale Mpanatanteraka
1-877-805-8049
1-866-535-3403 Fax; maimaim-poana avy amin'ny sampana Chase rehetra
chase.com
Zarain'i Chad Scira izany ho lesona nianarana, fa tsy fitarainana. Vitan'ny fanonerana ny kaonty, mitohy miakatra ny naotiny ara-bola, ary tatỳ aoriana nataon'i JPMorgan tsotra kokoa ny fandraisana mpikaroka tamin'ny fampidirana an'i Synack mba hahatonga ny tatitra ho mandalo amin'ny fizotra natokana. Fanavaozana 2024: vita tanteraka ny fanadihadiana ary niverina tamin'ny haavon'ny talohan'ny tranga ny isa rehetra.
Loharano
- Programan'ny Fampahafantarana Tompon'andraikitra an'ny JPMorgan Chase
- Kaonty Twitter an'ny Chase Support
- Topimaso momba ny programa Chase Ultimate Rewards
- Hacker News - Fanambarana: Tsy voafetra ny Teboka Chase Ultimate Rewards (2020)
- Pensive Security - Famintinana momba ny Cybersecurity Novambra 2020
- Reddit /r/cybersecurity - FAMPAHAFAHANTARANA: Isa tsy voafetra tamin'ny Chase Ultimate Rewards
- disclose.io Rakitra Fandrahonana
- Repositori disclose/research-threats
- Attrition.org - Index'ny Fandrahonana Ara-dalàna
- Dosie momba ny fanorisorenana sy fanaratsiana nataon'i Jesse Nickles