ما هو باونتي علة؟

مع مدى تعقيد البرامج ، من الصعب التأكد من عدم وجود أخطاء. هذه ببساطة طريقة الأشياء التي صممها الإنسان وشديدة التعقيد. لتقليل المشكلة ، تقوم شركات تطوير البرامج بتضمين مراجعات التعليمات البرمجية في دورة حياة تطوير البرامج الخاصة بهم. لكن حتى مراجعة الخبراء الدقيقة لا يمكنها اكتشاف كل شيء. وتؤدي قيود الوقت الفعلي والميزانية إلى تفاقم هذا الأمر. لهذا السبب ، تشق الحشرات طريقها إلى أنظمة الإنتاج. بعض الأخطاء لها تأثير ضئيل أو ليس لها تأثير ، لكن البعض الآخر يمكن أن يؤدي إلى ثغرات أمنية سيئة.

الثغرة الأمنية هي فئة من الأخطاء التي تؤثر على أمن النظام بطريقة ما. هناك مجموعة واسعة من النتائج المحتملة ، ولكن في النهاية ، تكون جميع الثغرات الأمنية ضارة للجميع. لسوء الحظ ، قد يكون العثور على الأخطاء أمرًا صعبًا ويستغرق وقتًا طويلاً. بينما يمكن للمطورين قضاء وقت محدود فقط في اختبار الأخطاء ، تقضي مجموعة أخرى مجتمعة وقتًا أطول بكثير في استخدام التطبيق - المستخدمين.

يقضي مستخدمو النظام ، مجتمعين ، وقتًا أطول بكثير من الوقت الذي يقضيه مطورو هذا النظام على النظام. يستخدمون أيضًا مجموعة متنوعة من الأجهزة. مجتمعة ، هذا يجعل البيئة المثالية للعثور على الحشرات - العديد من العيون وحافظات الحافة.

وضع المستخدمين في العمل

تتمثل الطريقة التقليدية لاستخدام المستخدمين لحل الأخطاء في الحصول على بعض وظيفة الإبلاغ عن الأخطاء التي تسمح للمستخدمين بالإبلاغ عن الخطأ الذي يواجهونه. يمكن للمطورين استخدام هذه المعلومات لتكرار المشكلة وتحديدها ومعالجتها. تكمن المشكلة في وجود حافز ضئيل للمستخدم للإبلاغ عن أي مشكلات. إنها عملية تستغرق وقتًا ، ولها آثار محتملة على الخصوصية ، ولا تؤدي عمومًا إلى أي ملاحظات ، حتى إذا تم إصلاح المشكلة.

الثغرات الأمنية أسوأ من ذلك. يمكن لمستخدم ضار أن يختار استخدام ثغرة يجدها بنشاط. اعتمادًا على المشكلة ، قد يكون من الممكن الوصول إلى شيء ذي قيمة ، إما في السوق السوداء أو من خلال الفدية أو الابتزاز. بدلاً من ذلك ، من الممكن بيع المعرفة بالثغرة الأمنية في السوق السوداء. في كلتا الحالتين ، لا يتم تحفيز المستخدمين للإبلاغ عن الأخطاء ويتم تثبيطهم للإبلاغ عن الثغرات الأمنية.

قلب الجداول

نظام مكافأة الأخطاء هو وسيلة لقلب الجداول لتشجيع الإبلاغ عن مشكلات الأمان بشكل نشط. الطريقة بسيطة ، تكافئهم. تتمثل الطريقة القياسية في دفع مكافأة مالية وتقديم إقرار عام بالمساهمة. هذا يكافئ المستخدمين بشكل مباشر على الإبلاغ عن ثغرة أمنية ويشجعهم على فعل الشيء الصحيح.

عادةً ما تكون أنظمة مكافآت الأخطاء مفتوحة لأي شخص. يمكن لأي مستخدم يحدد ثغرة أمنية الإبلاغ عنها والحصول على أموال. ومع ذلك ، هناك بعض المحاذير. لكي يتم الدفع لك ، يجب أن تكون عمومًا أول شخص يبلغ عن مشكلة ، على الرغم من وجود استثناءات نادرة في بعض الأحيان في ظروف استثنائية. عليك أيضًا اتباع القواعد.

توفر قواعد نظام مكافأة الأخطاء حماية شاملة من الإجراءات القانونية إذا بقيت ضمنها. غالبًا ما تكون مفصلة ولكنها مباشرة نسبيًا. لا تصل إلى بيانات الآخرين ، ولا تستخدم الثغرات الأمنية بشكل ضار ، وتفصح عنها بشكل خاص ومسؤول. قد تكون هناك أيضًا بعض الأشياء التي تعتبر محظورة.

ما هي المكافآت مثل؟

من الناحية الواقعية ، تستند المكافآت على حسن النية. هناك أيضًا عنصر "إذا تسبب هذا في حدوث خرق للبيانات ، فسيتعين علينا دفع غرامة أكبر بكثير". بشكل عام ، تدفع الشركة مبلغًا منخفضًا نسبيًا مقابل ذلك. ومع ذلك ، يمكن أن يكون هذا كثيرًا بالنسبة للمراسل. قد يتم الدفع مقابل بعض الأخطاء بأقل من مائة دولار. في الحالات القصوى ، على الرغم من ذلك ، دفعت بعض الشركات مائة ألف دولار مقابل نقاط الضعف الخطيرة. بالطبع ، معظم المنح أقل بكثير من ذلك.

من الناحية التاريخية ، كانت مكافآت الأخطاء أقل بكثير وأحيانًا كانت أكثر من مجرد شكر بسيط. إرسال قميص مجاني أو توفير اشتراك مجاني مدى الحياة في الخدمة ، على سبيل المثال. على الرغم من ذلك ، عززت شركات التكنولوجيا الكبيرة السوق ، وكذلك وصول منصات مكافآت الأخطاء. منصات مكافأة الأخطاء هي مواقع ويب تستضيف برامج مكافأة الأخطاء للعديد من العملاء. إنهم يجمعون كل شيء في مكان واحد. هذا يجعل من السهل جدًا على مؤسسة أصغر تشغيل نظام مكافأة الأخطاء. إحدى الطرق للقيام بذلك هي ببساطة عن طريق توحيد العملية.

بالطبع ، المكافأة في مكافأة الخطأ أقل بكثير مما يمكن تحقيقه من خلال بيع الخطأ في السوق السوداء. المفهوم يثق في أن معظم الناس ، بشكل عام ، يريدون فعل الشيء الصحيح. أو على الأقل لا يريدون عودة خطر خرق القانون لمطاردتهم.

خاتمة

مكافأة الخطأ هي نظام لدفع مكافأة للعثور على ثغرة أمنية والكشف عنها بمسؤولية. يشجع المستخدمين بنشاط على اختبار وتحسين أمان المنتجات. إنه يجلب العديد من العيون الجديدة إلى عملية الاختبار ، كل ذلك بتكلفة زهيدة للشركة. بالطبع ، بصفتك شخصًا يشارك في نظام مكافأة الأخطاء ، من الضروري توخي الحذر وفهم القواعد.

القرصنة غير قانونية. يسمح برنامج bug bounty باختبار بعض الأشياء ولكنه يشتمل عادةً على قيود. إذا لم تتبع القواعد ، فقد تكون مسؤولاً جنائياً. إذا اتبعت القواعد وعثرت على خطأ وأبلغت عنه ، فقد تحصل على عائد جيد وتزيد من الأمان لنفسك وللمستخدمين الآخرين.