HackerOne ha confirmado que ahora es obligatorio que todos los hackers completen la verificación de identidad antes de enviar informes a cualquier programa de recompensas por errores (BBP) en su plataforma. La empresa afirma que esta medida es necesaria para cumplir con los requisitos regulatorios. Esta política no afecta a los programas de divulgación de vulnerabilidades (VDP), los cuales seguirán abiertos a investigadores no verificados ya que no ofrecen recompensas monetarias.

HackerOne ha confirmado que ahora todos los hackers deben completar la verificación de identidad antes de enviar informes a cualquier programa de recompensas por errores (BBP) en su plataforma, una medida que la empresa afirma que es necesaria para cumplir con los requisitos regulatorios.

La política distingue los programas de bug bounty de los programas de divulgación de vulnerabilidades (VDP), que permanecen abiertos a investigadores no verificados ya que no implican una recompensa monetaria. Por lo tanto, cualquiera que espere cobrar una recompensa o acceder a otros programas basados en premios necesitará pasar primero por el proceso de verificación.

Cómo funciona el proceso de verificación

Para empezar, debes visitar tu página de perfil de usuario, hacer clic en el encabezado de Verificación de ID y, primero, firmar las Reglas de Compromiso de HackerOne, un documento que cubre términos adicionales vinculados al mayor acceso interno y las credenciales que podrías recibir como hacker verificado.

Tras revisar las políticas enlazadas y marcar la casilla de acuerdo, desbloquearás la opción de Iniciar Verificación, que transfiere el proceso al socio de identidad de HackerOne, Veriff.

Veriff se basa en la captura de imágenes en tiempo real, pidiéndote que fotografíes una identificación gubernamental válida y no dañada y, en la mayoría de los casos, que te hagas un selfie en vivo que se comparará con el documento.

HackerOne es estricto con la integridad del entorno durante este paso: no puedes usar una VPN, un anonimizador de tráfico, un dispositivo con jailbreak, un emulador de SDK o la función de relay privado de Apple; el uso de cualquiera de estos provocará un rechazo automático.

Generalmente se aceptan pasaportes, tarjetas de identidad nacional, permisos de residencia y licencias de conducir, aunque los tipos de documentos admitidos varían según el país, y solo funcionan las copias físicas no digitalizadas, ya que Veriff no procesa identificaciones escaneadas o digitales.

Una vez que concluye la sesión con Veriff, HackerOne suele enviar un correo electrónico de confirmación del estado de verificación en un plazo de tres días hábiles, y las revisiones pendientes pueden tardar hasta 48 horas antes de que consideres contactar con el soporte.

La verificación tampoco es un evento único: debe renovarse anualmente, y se te pedirá que te vuelvas a verificar aproximadamente un mes antes de que tus credenciales o documentos de identidad expiren. Perder esa ventana de renovación resulta en la pérdida de acceso a los programas que requieren verificación y en la eliminación de la insignia verde de verificación de tu perfil.

HackerOne separa la Verificación de ID estándar de su programa H1 Clear, más riguroso, que añade una comprobación exhaustiva de antecedentes penales y está reservado para un subgrupo más pequeño de hackers evaluados, mientras que la Verificación de ID básica permanece abierta a cualquier investigador elegible.

Los hackers que tengan el estado Clear aún deben priorizar la renovación anual de su Verificación de ID, ya que el incumplimiento de este requisito también pone en riesgo sus privilegios Clear.

Los rechazos suelen derivarse de problemas técnicos evitables más que de preocupaciones por fraude de identidad. El texto borroso en la imagen frontal, las zonas de lectura mecánica (MRZ) ilegibles, los códigos de barras faltantes o cortados, los documentos caducados y las fotocopias de IDs en lugar de fotografías en vivo se encuentran entre las causas más frecuentes señaladas por los controles automatizados de Veriff.

HackerOne recomienda una buena iluminación, quitarse las gafas o el sombrero y utilizar navegadores compatibles como Chrome o Safari, dependiendo del dispositivo, para minimizar el riesgo de que la sesión falle.

Para una plataforma que conecta a una comunidad global de hackers éticos con programas de bug bounty empresariales, este cambio impulsado por la regulación señala un endurecimiento de las expectativas de cumplimiento en toda la economía de divulgación de vulnerabilidades, y los investigadores que moneticen activamente sus hallazgos deben integrar la ventana de revisión de 48 horas a tres días hábiles en la planificación de su flujo de trabajo.

Fuentes:
https://cybersecuritynews.com/hackerone-mandates-id-verification/