Sogenannte «Ethical Hacker» haben in der aktuellen Cybercrime-Lage Hochkonjunktur. Dabei handelt es sich um Sicherheitsexpertinnen und -experten, die sich derselben Methoden bedienen, mit denen sich kriminelle Akteure, digitale Saboteure und Spione von Staaten im Krieg in Computersysteme einschleichen.
Abraxas zählt seit Frühling 2022 zu denjenigen Softwareentwicklern, die in der digitalen Schweiz ihren Code in einem Bug-Bounty-Programm bewusst Angriffen aussetzen. Wer glaubt, eine Lücke gefunden zu haben, meldet diese in einem standardisierten Verfahren dem Security-Dispositiv von Abraxas und diskutiert mit diesen die effektive Kritikalität. Je höher diese liegt, desto grösser fällt das «Bounty», die sogenannte Prämie aus.
Neues Programm: VOTING Stimmregister
Nun geht mit dem Stimmregister für den Kanton St. Gallen das dritte Modul der VOTING-Suite in ein Bug-Bounty-Programm, wiederum in Zusammenarbeit mit Bug Bounty Switzerland. Es ist bei Abraxas längst Standard, die Prozesse sind eingespielt. Auch sind die Feedbacks aus der Community der Security-Researcherinnen und -Researcher bisher erfreulich. Abraxas klassifiziert eingehende Findings schnell und führt einen transparenten Dialog. Das stärkt das gegenseitige Vertrauen.
«Unsere Erfahrungen aus dem allerersten Abraxas Bug-Bounty-Programm mit der Ergebnisermittlung aus der VOTING-Suite sind ausgezeichnet», sagt Daniel Scherrer, Chief Software Architect von Abraxas, der für die Bug-Bounty-Programme verantwortlich ist. Und Peter Gassmann, Leiter Solution Engineering: «Wir haben die Prinzipien der sicheren Softwareentwicklung im ganzen Prozess verinnerlicht, vom ersten Meeting bis zum fertigen und abgenommenen Code.»
Das gilt auch für VOTING Stimmregister. Die Software dient zur Vorbereitung von Abstimmungen und Wahlen und führt aktuellste Listen von Stimmberechtigten in den Gemeinden. Das Tool liefert einem anderen Modul der Suite die Daten zur Aufbereitung der Stimmrechtsausweise. VOTING Stimmregister wird normalerweise in einem geschützten Netzwerk verwendet. Für das Bug Bounty wird den Sicherheitsforschenden eine Testumgebung der Software explizit zur Verfügung gestellt.
