有着怎样的特点IBM为何不愿修复第三方免费提交的IDRM零日漏洞扩展安全奖励项目后,谷歌GPSRP和DDPRP将覆盖哪些情况2月曝光的Razer Blade笔记本电脑安全漏洞,Google Play 安全奖励（GPSRP）项目已经向安全研究人员支付了超过 26.5 万美元的赏金,2月曝光的Razer Blade笔记本电脑安全漏洞,谷歌已经向安全研究人员支付了超过 1500 万美元的奖励,现在已经完成修复了吗一加新推出的除虫赏金项目,一加宣布了一个影响多达 4 万客户的安全漏洞,谷歌与 HackerOne 合作推出了开发者数保护奖励（DDPRP）项目。
本文目录
- 一加新推出的除虫赏金项目，有着怎样的特点
- IBM为何不愿修复第三方免费提交的IDRM零日漏洞
- 扩展安全奖励项目后，谷歌GPSRP和DDPRP将覆盖哪些情况
- 2月曝光的Razer Blade笔记本电脑安全漏洞，现在已经完成修复了吗
一加新推出的除虫赏金项目，有着怎样的特点
今年 11 月，一加宣布了两年来遭遇的第二次数据泄露。为此，这家手机制造商承诺在 2019 年底前启动除虫赏金项目，以增强社区互信和自身的安全性。
今天，该公司正式宣布了除虫赏金项目，提交 bug 的研究人员，最高可获 7000 美元的奖励。如果你发现了相关 bug 或漏洞，可先注册一个账户，然后向官方提交。
（来自：OnePlus，via TheVerge）
有趣的是，该公司安全响应中心（OneSRC）还设立了一个“名人堂”，着重介绍每月前三的杰出贡献者。
目前划定的赏金级别如下：
● 特例：最高 7000 美元；
● 严重：750~1500 美元；
● 高级：250~750 美元；
● 中等：100~250 美元；
● 最低：50~100 美元。
一加表示，该公司会根据漏洞的严重性、及其对实际业务的影响程度来评判。同时，该公司还与 HackerOne 达成了合作。
今年 11 月，一加表示将于世界知名安全平台合作，现在可知对方就是 HackerOne 。
双方的合作，始于一项试点计划，旨在邀请部分安全研究人员对一加的系统展开测试。
该计划的公开版本，将于 2020 年正式启动。
2018 年 1 月的时候，一加宣布了一个影响多达 4 万客户的安全漏洞，导致客户的信用卡信息被盗。
至于 2019 年 11 月的第二起数据泄露事件，一加表示某些客户的姓名、联系电话、电子邮件和送货地址或已曝光。
庆幸的是，付款和账户信息仍然是安全的，但该公司未指明有多少客户受到了影响。
IBM为何不愿修复第三方免费提交的IDRM零日漏洞
由于被告知后拒绝修补，安全研究人员今日发布了影响 IBM 磁盘风险管理（IDRM）这款企业安全工具的四个零日漏洞。
据悉，IDRM 能够汇总来自漏洞扫描工具和其它风险管理工具的提要，以便管理员调查安全问题。
正如 Agile 信息安全公司研究主管 Pedro Ribeiro 所指出的那样，IDRM 是一款能够处理相当敏感信息的企业安全产品。
遗憾的是，有关 IDRM 产品本身的漏洞，却可能导致企业遭受全面的损害。因其具有访问其它安全工具的凭据，更别提汇总了有关企业的关键漏洞信息。
Ribeiro 表示，其在 IDRM 中发现了四个漏洞，并且与 CERT / CC 计算机安全响应团队合作，通过官方披露程序向 IBM 汇报了这些问题。
然而即便被告知四个漏洞的严重性，IBM 方面的回应却有些匪夷所思 —— 该产品仅用于客户的‘增强’支持，在评估之后，我们不认为他在漏洞披露程序的范围之内。
我司已在
扩展安全奖励项目后，谷歌GPSRP和DDPRP将覆盖哪些情况
自 2010 年推出除虫赏金项目以来，谷歌已经向安全研究人员支付了超过 1500 万美元的奖励。
今天，这家科技巨头宣布进一步拓展 Google Play 安全奖励项目（GPSRP）的范围，以覆盖上亿的 Android 应用程序。
与此同时，谷歌与 HackerOne 合作推出了开发者数保护奖励（DDPRP）项目，适用于针对 Android 应用、OAuth 项目、以及 Chrome 扩展程序的数据滥用。
（图自：Google，via VentureBeat）
谷歌认为，除虫奖励项目是其内部安全计划的一个有力补充，能够激励个人和安全研究机构帮助其找到缺陷并正确地披露，而不是将之在灰色市场兜售或恶意使用。
与其等到发生难以挽回的严重后果，还是掏钱奖励安全研究人员来得划算。此外，在今天的更新发布之前，谷歌还于上月增加了 Chrome 浏览器、Chrome OS、以及 Google Play 的安全研究奖励。
截至目前，Google Play 安全奖励（GPSRP）项目已经向安全研究人员支付了超过 26.5 万美元的赏金。随着该项目覆盖更多热门的应用，未来谷歌有望拿出更多的预算。
同时，谷歌还在努力提升自动筛查漏洞的技术能力，为 Google Play 中的所有应用查找类似的漏洞。如有应用开发者受到影响，可通过 Play 控制台接收到相应的通知。
据悉，谷歌的应用安全改进（ASI）项目，能够为开发者提供与漏洞及其修复方法相关的信息。
今年 2 月的时候，谷歌透露 ASI 项目已帮助超过 30 万名开发者，在 Google Play 上修复了超过 100 万个应用。
至于新增的开发人员数据保护奖励（DDPRP）计划，旨在识别和减轻针对 Android 应用、OAuth 项目、以及 Chrome 扩展程序中的数据滥用问题。
若研究者可体征验证明确的数据滥用，谷歌将会根据 DDPRP 的奖励方案给予一定的报酬，因为该公司对用户数据被外使用或出售等情况尤为关切，最高可送上单笔 5 万美元的奖金。
那些被认定存在数滥用行为的 Android 应用和 Chrome 扩展程序，不仅会被 Google Play 和 Chrome 网上应用店下架，其开发者也会被限制对相应 API 的访问。
2月曝光的Razer Blade笔记本电脑安全漏洞，现在已经完成修复了吗
今年 2 月，Razer Blade 系列笔记本电脑被曝存在与 Intel ME 有关的固件漏洞。别有用心的攻击者，或借此将恶意软件植入受害者的 PC 中。
该安全漏洞的代号为 CVE-2018-4251，最初是在 macOS 10.13.5 之前的苹果笔记本电脑上被发现的。但由于它属于英特尔主板固件的一部分，许多厂商的产品都受到了影响。
（题图 via：TechSpot）
早在去年，苹果就已经修复了这个安全漏洞。然而上个月的时候，安全研究员 Bailey Fox 再次公开披露了 Razer 计算机中存在的这一漏洞。
在私下里通过 HackerOne 提醒了一个月后，挣扎许久的 Bailey Fox 决定在 Twitter 上曝光此事，以引起该公司的注意。他表示：
当前所有 Razer 笔记本电脑都预置了 Intel manufacturing Mode，拥有对 SPI 闪存的完整读写权限，这完全就是照搬的 CVE-2018-4251，该漏洞仍未被修复。
据悉，英特尔通过该模式来配置启动验证等设置，如果保持为开启状态，恶意软件就可以借此对计算机展开控制，敞开包括“熔毁”（Meltdown）在内的漏洞大门。
更糟糕的是，恶意软件和配置可以直接写入到主板固件，使之难以被反病毒软件给检测到。即便用户格掉了硬盘、并恢复了出厂设置，问题依然存在。
这件事的教训，表明不被最终用户所使用的制造模式，根本就不应该存在于主板固件之中。万幸的时，Razer 于上周承认了这个问题，并发布了修复方案。
该公司一位发言人称，他们已经对工厂发货的英特尔芯片组计算机进行了修补。其余已发货的机型，亦可通过官方发布的软件更新来修复。
