La Comisión Europea ha anunciado su primer programa de recompensa de errores (bug bounty). El beneficiario inicial de esta búsqueda de vulnerabilidades y exploits será el reproductor multimedia VLC, posiblemente el más popular en su campo.

Esta medida forma parte del programa EU-FOSSA (EU-Free and Open Source Software Auditing), que cuenta con un presupuesto anual de 1.9 millones de euros. EU-FOSSA tiene entre sus objetivos, el de mejorar la seguridad de proyectos críticos de código abierto, para su uso por parte de las instituciones de la Unión Europea, así como del público en general.

Entre las actividades ya realizadas, figuran las auditorías de programas como el gestor de contraseñas KeePass y el servidor web Apache (ambos fueron seleccionados mediante una encuesta pública, en la que VLC quedó tercero).

El bug bounty de VLC se realizará a través de la plataforma especializada HackerOne e inicialmente se ejecutará de forma restringida. Solo tendrán acceso aquellos expertos de seguridad que hayan sido invitados al mismo por parte de VLC, teniendo en cuenta su reputación y participación en programas similares.

Transcurridas las tres primeras semanas, estará abierto a todo aquel que quiera participar, examinando el código de VLC y comunicando los errores que se puedan detectar.

El importe de las recompensas oscila entre los 100 y 3000 euros, pudiéndose presentar las vulnerabilidades detectadas hasta finales de enero. Eso siempre que no se agote antes el dinero presupuestado para dicho fin.

El equipo de VLC cualificará a su discreción los errores presentados, los cuales serán recompensados en función de su gravedad e impacto.

VLC es software libre y multiplataforma, estando disponible para los principales sistemas operativos de escritorio y móviles. Esperemos que esta auditoria, sirva para hacerlo todavía mejor y más seguro, en especial su nueva versión VLC 3.0, que en breve debería estar disponible.

Vía | elotrolado