Questa risposta tocca solo il processo di vendita di 0 giorni a rivenditori come Zerodium ed è solo una supposizione.
Dalla Zerodium Domande frequenti :
What happens after accepting an acquisition offer from ZERODIUM?
After evaluating and approving the research, ZERODIUM will send you the final acquisition offer and the agreement to sign.
By signing the agreement, you will accept to sell your research to ZERODIUM and transfer all related intellectual property rights to us, meaning that the research becomes the exclusive property of ZERODIUM and you are not allowed to re-sell, share, or report the research to any other person or entity.
Puoi dare un'occhiata al processo di invio di Zerodium in questo grafico .
La parte che ho contrassegnato in corsivo nel testo è quella importante. Tu, come ricercatore, devi assicurarti di documentare la tua ricerca in anticipo e potresti 1 quindi rivendicare la proprietà intellettuale per esso. Questo è piuttosto facile ed economico per esempio negli Stati Uniti (credo che 35 $ penso).
A Zerodium non è quindi permesso riutilizzare il tuo codice, a meno che tu non trasferisca loro la proprietà intellettuale. Tuttavia, come hai già sottolineato, sarà piuttosto difficile dimostrare che Zerodium non lo farà. Questo perché Zerodium ei suoi acquirenti fanno di tutto per mascherare qualsiasi rapporto commerciale che hanno. Forse un contratto è firmato dopo che Zerodium rivendica il suo interesse per un exploit e prima che un ricercatore invii una pre-offerta, ma questa è solo una mia ipotesi.
In conclusione: molte di queste transazioni, come ogni transazione con un broker 0day altrove, si basano sulla fiducia. Se tu non ti fidi di loro in primo luogo 2 non vendi a loro. Ma: se hai un exploit funzionante, suppongo che non ti ingannino. Perché qualcuno che è in grado di sviluppare un exploit funzionante - il prodotto che Zerodium sta cercando di vendere - è probabilmente in grado di svilupparne altri. Quindi, dal punto di vista di Zerodium, è economicamente intelligente stabilire una relazione e quindi fidarsi di questa persona.
1 Non ne sono sicuro al 100%, ma penso che tu abbia ancora la proprietà intellettuale sulla tua creazione, anche se non è registrata. Citazione dal PDF collegato: "Con
IP non registrato, hai automaticamente diritti legali sulla tua creazione. Le forme di IP non registrate includono copyright, diritti di progettazione non registrati, marchi di common law e protezione dei database per informazioni riservate e segreti commerciali "
2 IMHO: non dovresti, solo per ragioni etiche
