Bug bounty
Un bug bounty es la oferta permanente de una empresa de pagar a investigadores independientes que encuentren vulnerabilidades en sus productos y las comuniquen en privado.
¿Qué es Bug bounty?
Un bug bounty es la oferta permanente de una empresa de pagar a investigadores de seguridad independientes que encuentren vulnerabilidades en sus productos y las comuniquen en privado. El programa publica sus reglas: qué productos entran, cómo se informa, cuánto tiempo tiene el fabricante para corregir un problema antes de que se publiquen los detalles y cómo aumentan las recompensas con la gravedad.
En las billeteras de hardware, el alcance suele incluir el firmware, la aplicación complementaria y a veces el propio hardware. Ledger, Trezor y BitBox están entre los fabricantes con programas públicos. Los investigadores que siguen las reglas reciben el pago y el reconocimiento; el fabricante gana tiempo para publicar una corrección antes de que los atacantes conozcan el fallo. Este acuerdo se llama divulgación coordinada o responsable.
Un programa de recompensas da a terceros un motivo para mirar y un canal seguro para informar. Un historial de informes publicados y correcciones dice más de un fabricante que la ausencia de problemas conocidos.
No sustituye a otras medidas. Un bug bounty solo encuentra lo que alguien decide buscar, el código cerrado es más difícil de examinar desde fuera, y las recompensas pequeñas frente a lo que un fallo valdría en otro lugar atraen poca atención. Las auditorías de seguridad, el firmware de código abierto y un equipo interno de seguridad cubren lo que un bug bounty por sí solo no cubre.
Una billetera de hardware es un dispositivo dedicado que guarda las claves privadas sin conexión y firma las transacciones internamente, de modo que las claves nunca llegan a un ordenador o teléfono conectado a internet.
El firmware es el software que se ejecuta en la propia billetera de hardware: genera las claves, muestra los detalles de la transacción en pantalla y firma.
Leer la definición completa: FirmwareLedger es una marca de billeteras de hardware que almacenan de forma segura las claves privadas de criptomonedas fuera de línea, como la serie Ledger Nano.
Leer la definición completa: LedgerTrezor es una billetera hardware de SatoshiLabs. Almacena claves privadas fuera de línea para asegurar criptomonedas.
Leer la definición completa: TrezorBitBox es una marca de billeteras de hardware de Shift Crypto, que incluye el modelo BitBox02, para almacenar sin conexión y de forma segura las claves privadas de criptomonedas.
Leer la definición completa: BitBoxLa comunicación encriptada en criptomonedas y blockchain asegura la transmisión de datos entre billeteras, nodos o usuarios utilizando técnicas de encriptación como la encriptación de extremo a extremo, evitando el acceso no autorizado.
Leer la definición completa: Comunicación EncriptadaEl Firmware de Código Abierto se refiere al firmware en dispositivos de hardware, como billeteras, donde el código fuente está disponible públicamente, permitiendo transparencia, auditabilidad y personalización.
Leer la definición completa: Firmware de Código AbiertoEjemplos reales
Ejemplo 1: Una investigadora encuentra un fallo en la forma en que el firmware de una billetera interpreta una transacción y lo comunica a través del programa de recompensas. El fabricante publica una actualización de firmware y después un aviso de seguridad que reconoce a la investigadora.
Ejemplo 2: Antes de comprar una billetera de hardware, un usuario comprueba si el fabricante tiene una política pública de divulgación y una lista de avisos de seguridad anteriores con las correcciones que les siguieron.
El firmware es el software que se ejecuta en la propia billetera de hardware: genera las claves, muestra los detalles de la transacción en pantalla y firma.
Leer la definición completa: FirmwareUna actualización de firmware instala una nueva versión del software de una billetera de hardware para cerrar fallos de seguridad, corregir errores o añadir monedas y funciones.
Leer la definición completa: Actualización de FirmwareUna billetera de hardware es un dispositivo dedicado que guarda las claves privadas sin conexión y firma las transacciones internamente, de modo que las claves nunca llegan a un ordenador o teléfono conectado a internet.
Preguntas frecuentes
¿Una billetera de hardware sin vulnerabilidades conocidas es más segura?
No necesariamente. Que no haya problemas conocidos puede significar simplemente que pocos han investigado. Un historial de informes publicados y correcciones dice más del fabricante: demuestra que terceros examinan el producto, que los fallos llegan por un canal seguro y que después se publican actualizaciones.
¿Por qué los investigadores comunican un fallo en privado en lugar de publicarlo enseguida?
Con la divulgación coordinada o responsable, el fabricante tiene tiempo de publicar una corrección antes de que los atacantes conozcan el fallo. Las reglas del programa fijan la duración de ese plazo. Quien las cumple recibe pago y reconocimiento, y los usuarios pueden instalar la actualización antes de que se publiquen los detalles.
¿Basta un programa de bug bounty para confiar en la seguridad de una billetera?
No. Un bug bounty solo encuentra lo que alguien decide buscar, el código cerrado es más difícil de examinar desde fuera y las recompensas pequeñas atraen poca atención. Las auditorías de seguridad, el firmware de código abierto y un equipo de seguridad interno cubren lo que un bug bounty por sí solo no cubre, así que conviene valorarlos en conjunto.
¿Listo para elegir una Billetera Segura?
Usa nuestras herramientas para encontrar la billetera de hardware ideal para tus necesidades.