スラッシュドット・ジャパン

問題ないところにバグ仕込んで、見つかりました！とか。
モラルハザードの懸念。
＃いや、そんなことあったらこまるんだけど。

「Microsoft 社員およびその関係者は応募できません」というよくある一文がついている、に 100 インシデント。

ホントにヤヴァいのが見つかったら、「緊急」を越える「ちょ～緊急」が新設されるとか。

先着一名（グループ）ですよ [idefense.com]

Situations could occur where multiple contributors provide information about the same vulnerability in the same product. In this case, the first contributor who provides information that can be validated by iDefense will be compensated; subsequent contributors will not.

WMF脆弱性はロシアのクラッカーグループが4000ドルで売っていた [itmedia.co.jp]そうなので、顧客が3人以上いるアングラグループなら報告しないでしょうね。

私はセキュリティなどの絡む設計をするとき、なにか二者択一のものがあった場合はどちらが得をするかではなく、なにかあったときにどちらが損害が少ないかで決めています。

タレコミ子です。
ちょっと言ってみたかっただけです。
勿論、私にとって1万ドルは大金ですとも。orz

TeX [wikipedia.org]と同様に"バグ発見者に対しては前回のバグ発見者の2倍の懸賞金をかける"とかだったら今ごろは大変なことになってますな

WMF Exploitは4000ドル [slashdot.org]の場合、公表された三週間前からロシアのアンダーグラウンドで出回っていた、とのこと # タレコんだけど却下されたのでID

あるソフトを開発していたときの実話。
バグとしか思えない挙動を見つけたのでMSに連絡した事がある。
俺「これってどう考えてもバグですよね」
担当「ご指摘の現象は確認しました。でも、バグと言ってしまうと直さなくてはならなくなるので、あーだこーだ」

危険度が高いバグの指摘にはこんな反応じゃないことを祈るよ。

勇気を振り絞ってID