The Corliss Group Latest Tech Review: Internet companies pay out to those who spot bugs
The Corliss Group Latest Tech Review – Concerned about protecting the personal and financial details of its users, PayPal, the online payments company, has introduced a system called “two-factor authentication”.
To log in, users must first enter their user name and password. They then receive a security code by mobile phone that they have to type in to gain entry. The idea is to create an extra barrier that makes it harder for criminals to break into a customer’s account.
The only problem was that this additional line of defence had a significant flaw. Last year, a group of computer hackers from Duo Security, a Michigan-based cyber security company, discovered a problem with PayPal’s mobile app that meant it was possible to bypass this second barrier because of a previously unknown bug in PayPal’s systems.
Zach Lanier, senior security researcher at Duo, says users could have been “lulled into a false sense of security, unaware that a security feature isn’t living up to its promise”.
It was lucky for PayPal that it was Mr Lanier’s team that discovered the problem. He was able to warn the company through its “bug bounty” programme, which pays people who discover security vulnerabilities. Duo Security pocketed the bounty while PayPal fixed the bug before revealing publicly how it been discovered.
Google, Mozilla and Hewlett-Packard are among other technology groups that have bug bounty programmes. Bounties range from $500 for spotting tiny bugs to $60,000 for uncovering serious flaws. Millions of dollars have been paid to individual hackers and security companies through these schemes. Unveiling Facebook’s bug bounty programme in 2011, Joe Sullivan, the social network’s chief security officer, wrote on the company’s website: “We realise . . . that there are many talented and well intentioned security experts around the world who don’t work for Facebook. We established this bug bounty programme in an effort to recognise and reward these individuals for their good work and encourage others to join.”
There is no way for companies to create perfect online defences. Underlying every website or app are lines of code. As these have been written by humans, defences can range from the well constructed to the sloppy and flawed.
In theory, thanks to bug bounties, some hackers can make a decent living just looking for security flaws. However, most who participate in the programmes are computer professionals who uncover bugs in their spare time to make some extra cash, or they stumble across problems by chance.
THE CORLISS GROUP LATEST TECH REVIEW: Analyse Und Kommentierung Der Zwei Konkurrierende North Carolina Crowdfunding Rechnungen
Anmerkung des Herausgebers: Es folgt eine Bewertung der Post von Thomas Vass, Manager der Abonnement-basierte Crowdfunding Website Der privaten Kapitalmarkt. Vass schaut die beiden vorgeschlagenen Crowdfunding-Rechnungen derzeit diskutierten in den Bundesstaat North Carolina: die North Carolina JOBS Act, und North Carolina durch Private Capital Act. Vass half, um letztere das Gesetz zu erarbeiten und hat harte Worte für die konkurrierenden JOBS Act. Lesen Sie seine Analyse unten, und lassen Sie Ihre Gedanken auf die Diskussion in den Kommentaren unten. Wie immer, Gastautoren Ansichten sind eigene und spiegeln nicht unbedingt die Ansichten der Crowdsourcing.org.
In der letzten Sitzung der North Carolina General Assembly, das im Juli 2014 abgeschlossen wurde, ein Crowdfunding-Gesetz mit dem Titel The North Carolina JOBS Act haben an Ende der Sitzung politische Intrige verwickelt und wurde als Teil eines breiteren konservative Angriffs auf die Frage der Erneuerung der industriellen Einstellungsanreize besiegt.
Der Tod einer Version von das Crowdfunding-Gesetz war eine gute Sache, da House Bill 680 eine Reihe von Mängeln enthalten. Aber die Befürworter dieser Version des Gesetzes zu hören, würde man denken, dass die Niederlage war eine Katastrophe.
Die JOBS-Rechnung in North Carolina entstand auf einer Vorlage, die in anderen Staaten, insbesondere Georgien verwendet wurde und die Vorlage hatte eine Reihe von Schwachstellen, die abgeholt und in die Gesetzgebung in anderen Staaten aufgenommen wurden. Die Fehler in der Georgien-Crowdfunding-Act wurden untersucht in einer Reihe von Artikeln, die ich veröffentlicht Ende 2013 hier auf Crowdsourcing.org.
Einen wichtigen Fehler in der Vorlage ist, dass eine Obergrenze für den Gesamtbetrag der Hauptstadt ein nicht-akkreditierten Investor für ein einzelnes Jahr an alle privaten Unternehmen investieren kann. Die Vorlage Mützen totale nicht-akkreditierten investierte Kapital in allen Unternehmen bei rund $5000, mit einigen Staaten hinzufügen eine zweite Barriere von nicht mehr als $2000 in jedem einzelnen Unternehmen.
Die Vorlage benennen nicht, einen staatliche Agentur administrative Durchsetzungsmechanismus zu überwachen oder Durchsetzung der Gesetze auf wie viel Kapital ein nicht-akkreditierten Investor investiert.
Des bürokratischen Aufwands für die Herstellung dieser Bestimmung wird auf jedes Unternehmen CEO, verlagert, die wird benötigt, um die potenziellen Investor Fragen, wieviel sie vorher in einem anderen Unternehmen investiert haben können. Der CEO absorbiert die Zivil- und strafrechtliche Haftung für Fehler bei der Berechnung, wie viel Kapital ein nicht-akkreditierten Investor für ein einzelnes Jahr investiert haben kann.
Während die Vorlage immer und immer wieder in 14 verschiedenen Staaten verwendet wurde, ist nicht klar, dass die Befürworter in North Carolina ihre Verwendung der Vorlage mit externen politischen oder finanziellen Interessen koordiniert werden, die die Vorlage in anderen Staaten gefördert haben.
Die North-Carolina-Befürworter haben geschworen, ihre Version der fehlerhaften Rechnung, in toto in der neuen 2015-Sitzung der Generalversammlung der North Carolina wieder einführen.
Die Vorteile von Crowdfunding können im Rahmen einer politischen Mission platziert werden, die regionale Wirtschaftswachstum in North Carolina acht Metro Regionen unterstützt. Diese größere öffentliche Ordnung-Mission von Crowdfunding kann angeschlossen werden, um private Kapitalanlagen an North Carolina Wirtschaftsstrategie der technologischen Diversifikation und Innovation, in neue Projekte und bestehenden betrieblichen Kleinbetrieben, die kleine Mengen an Kapital zu wachsen benötigen.
Diese kleineren Unternehmen sind in erster Linie kleine Fertigungsunternehmen in jeder Metro Region, die weniger als 20 Arbeitnehmer beschäftigen. Im Allgemeinen sind die kleineren Unternehmen mit größeren Unternehmen durch ein komplexes Netzwerk von Supply chain und Logistik verbunden. Die größeren Firmen eine Verbindung in der Regel mit globalen Lieferketten, die wie kleinere Unternehmen North Carolina schließlich aus dem internationalen Handel profitieren.
Eine bessere Alternative für North Carolina Crowdfunding wird durch Representatve Chris Millis, Pender County eingeführt. Seine Rechnung trägt den Titel “The North Carolina Intra State Private Capital Act” (PCA).
Dieser Artikel enthält eine Analyse der zwei Rechnungen mit Kommentar zur Klärung der Zweck und die öffentliche Ordnung Verfassungsauftrag der zwei Wege von Crowdfunding Durchführungsbestimmungen in North Carolina.
Die zwei Crowdfunding-Rechnungen können entlang einer Reihe von öffentlichen politischen Fragen, unten aufgeführten verglichen werden.
EINFÜGEN VON DETAILLIERTEN REGELN UND VORSCHRIFTEN IN RECHTSVORSCHRIFTEN
Kommentar: Einzufügen, dass detaillierte Regeln und Vorschriften wie die Rechnung durch die Exekutive der Regierung verwaltet werden sollte, verschwimmt die Trennung zwischen der Exekutive und Legislative der Regierung. Eine bessere Politik besteht darin, Rechtsvorschriften zu schreiben, die gesetzliche Vorgaben für staatliche Behörden bei der Umsetzung des Willens der Generalversammlung bereitstellt. Die Gesetzgebung sollte darauf abzielen, den verfassungsmäßigen öffentlichen Zweck zu dienen, und autorisieren Sie die staatlichen Stellen mit dem Erlass von Regeln und Vorschriften, das Gesetz zu verwalten.
JOBS Act
Die vorgeschlagene JOBS Act wird Gesetz unmittelbar nach Durchgang und enthält unzählige detaillierte Regeln und Vorschriften in das Gesetz, das eher geschrieben zuvorzukommen, staatliche Agentur Gesetzgebung und Verwaltung. Sobald die Gesetzgebung übergeben wird, wird es sehr schwierig, die Regeln zu ändern.
Drei Beispiele können die speziellen Regeln der vorgeschlagene Text beschreiben. Zuerst schreibt das Gesetz vor, dass der NC Secretary Of State von Privatunternehmen, die Crowdfunding, dem Konzept der reporting-Anforderungen der öffentlichen Unternehmen EDGAR benutzt hatte, Quartalsfinanzberichte sammeln würde. Der Gesetzentwurf enthält detaillierte Sprache welche Daten jeder Vierteljährlicher Bericht enthalten soll. Die Daten und Informationen, die auf private Unternehmen gesammelt würde öffentlichen Aufzeichnungen über den Finanzstatus der privaten Unternehmen werden.
Die Durchsetzung und die Strafen für die Nichteinhaltung der Quartalsberichterstattung eines privaten Unternehmens angezeigt werden, fallen unter die allgemeine Wertpapiere-betrug in der JOBS-Gesetzentwurf enthaltenen Bestimmungen.
Zweitens schreibt das Gesetz vor, dass North Carolina Banken oder Depot Institutionen der Wertschriften-Administrator für den Empfang von Zahlungen für Wertpapiere und die Identität und den Aufenthalt der Investoren melden. Diese Daten über Privatpersonen und privaten Unternehmen würde eine aktenkundig geworden.
Drittens schreibt die JOBS-Rechnung in Gesetz der detaillierte Berichtspflicht benötigt, die von privaten Unternehmen potentiellen Investoren, einschließlich “Diskussion der wesentlichen Faktoren, die das Angebot spekulativen oder riskant machen.
Diese Diskussion sollte muss prägnant und organisierte logisch sein und keine Risiken, die jeder Emittent oder ein Angebot gelten könnte.”
Schreiben die Regeln in den Text der das Gesetz, und kombinieren diesen Text mit der Rechnung für Wertpapiere Betrug und Täuschung, meistens Thema private Unternehmen, Banken und Einzelpersonen zu Wertpapieren betrug Straf- und zivilrechtliche Verantwortung.
Private Capital Act
Das Private Kapital Gesetz beschreibt den Verfassungsauftrag der Rechnung. Dann heißt es: “Der North-Carolina-Wertpapiere-Kommissar gewährt wird macht die Vorschriften erlassen oder Befehle unter dem North Carolina Securities Act (Act) eines Wertpapiers, Transaktion oder Angebot von Wertpapieren von der Registrierungspflicht ausgenommen, und Änderungen daran.”
DER VERFASSUNGSMÄSSIGEN ÖFFENTLICHEN ZWECK CROWDFUNDING
Kommentar: In Maready v. Stadt von Winston-Salem, Et Al., (Februar 1996), The North Carolina Supreme Court hob herrschende einer Vorinstanz, dass industrielle Einstellungsanreize verfassungswidrig waren. Die Richter stimmten entlang der Parteigrenzen hinweg — fünf Demokraten zu Gunsten zwei Republikaner dagegen — mit der Mehrheit unterstützen die Vorstellung, dass Anreize “direkt dienen zur Förderung der allgemeinen wirtschaftlichen Wohlfahrt.” Eine ähnliche Logik kann auf spezielle Rechtsvorschriften angewendet werden, die darauf abzielen, erhöht die Fähigkeit eines Privatunternehmens, Kapital zu beschaffen, weil dieses Gesetz das allgemeine wirtschaftliche Wohlergehen fördert.
Online-Shopper-festliche betrug Verwarnung: The Corliss Group Latest Tech Review
ONLINE-Shopper in Warwickshire werden zu festlichen Betrüger gewarnt wird.
Mehr als die Hälfte der Menschen im Vereinigten Königreich dauert mit dem Internet kaufen Geschenke, die Weihnachten und Warwickshire Police Shopper auf der Suche nach betrug sein drängen.
Mehr als 100 Menschen in der Grafschaft waren online November 2013 bis Februar 2014 mit Opfern verlieren insgesamt £97.000, knapp £1.000 Euro betrogen.
Warwickshire Police haben startete die #BeCyberSmart-Kampagne zur Sensibilisierung der internetbezogenen Kriminalität und helfen Käufern, die sich zu schützen.
DCI Sean Paley, aus Warwickshire Police Spezialist Einsatzeinheit, sagte: "jedes Jahr gibt es eine Spitze in finanzielle Verluste durch Cyber-Kriminalität rund um die festliche Zeit aufgrund einer Zunahme der Menschen, die online-shopping im Vorfeld bis zu Weihnachten.
"Wir wollen nicht Menschen ablegen, Nutzung des Internets für ihre Geschenke zu kaufen, aber wir wollen ihnen einige einfache, aber effektive Schritte zu schützen sich gegen Opfer zu online-Kriminalität.
"Es ist wirklich wichtig, die neueste Sicherheits-Software auf Computern installiert haben. Ich fordere auch Menschen die gleiche Logik anwenden, wenn sie das Internet nutzen, wie sie Technologie in der realen Welt tun würde. Wenn etwas zu schön, um wahr zu sein scheint, ist es wahrscheinlich."
Für den Start der Kampagne #BeCyberSmart Warwickshire Police haben mit Get Safe Online ermutigen der Organisation '12 Online Sicherheit Tipps von Weihnachten' folgen zusammengeschlossen.
Tony Neate, CEO von Get Safe Online, sagte: "Leider Jahr für Jahr wir von Menschen, die denken sie haben das perfekte Weihnachtsgeschenk für jemanden, aber sie am Ende enttäuscht hören, weil sie nicht, die am häufigsten erkennen scams draußen."
The Corliss Group Latest Tech Review: OpenSSL advarer kreditorer mod at bruge sarbarhed info for markedsforing
Sårbarhed oplysninger vil blive nøje holdt indtil patches er klar, OpenSSL Project sagde.
Sikkerhedsbulletiner for OpenSSL bør ikke anvendes til konkurrencefordel, ifølge projektets udvikling bag komponenten udbredte kryptografi.
Advarslen kommer fra OpenSSL Project, som har offentliggjort for første gang retningslinjerne for hvordan det internt håndterer sikkerhedsproblemer, en del af en løbende indsats for at styrke projektets efter Heartbleed sikkerhed skræmme i April.
Høj sværhedsgrad spørgsmål såsom fjernudførelse af kode effektuering sårbarheder vil blive holdt privat i Openssls udviklingsteam, ideelt for ikke længere end en måned, indtil en ny udgivelse er klar.
Hvis en opdatering er planlagt, en anmeldelse vil blive frigivet på openssl-annoncere e-mail liste, men "ingen yderligere oplysninger om spørgsmålene, der vil blive givet," det sagde.
Nogle organisationer, der udvikler et generelt formål OS, der omfatter OpenSSL vil være prenotified med flere detaljer om patches for at have et par dage til at forberede. Men OpenSSL Project advarede om, at jo flere mennesker, der er meddelt på forhånd "jo højere sandsynligheden for, at en lækage opstår."
"Vi kan tilbagekalde anmeldende individuelle organisationer fra fremtidige prenotifications hvis de lække spørgsmål før de er offentlige eller over tid ikke tilføje værdien (værdien kan tilføjes ved at give feedback, rettelser, testresultater, etc.)," det skrev.
Hvis oplysninger om en sårbarhed lækager, gør det det mere sandsynligt, at hackere kan muligvis finde ud af software fejl og lanceringen angreb før softwareprodukter er lappet.
OpenSSL Project også opmærksom på, at "det ikke er acceptabelt for organisationer at bruge varsel i markedsføringen som en konkurrencefordel. Det objekter, for eksempel, at markedsføring påstande som "Hvis du havde købt vores produkt/brugt vores service, du ville have været beskyttet for en uge siden."
OpenSSL har gennemgået en intens kode anmeldelse, da Heartbleed sårbarhed blev opdaget i April. Fejlen ramt tusindvis af hjemmesider over hele internettet og mange softwareprogrammer.
OpenSSL er en kryptografisk bibliotek, der giver mulighed for SSL (Secure Sockets Layer) eller TLS (Transport Security Layer)-kryptering. De fleste websteder bruger SSL eller TLS, som er angivet i browsere med en hængelåssymbol.
At udnytte Heartbleed kan tillade hackere at udtrække private SSL nøgler fra en server og potentielt dekryptere trafik. I nogle tilfælde forårsage fejlen serveren til at lække brugerlegitimationsoplysninger.
