버그 현상금이란 무엇입니까?

소프트웨어가 얼마나 복잡한지 버그가 없는지 확인하는 것은 어렵습니다. 이것은 단순히 인간이 설계하고 고도로 복잡한 사물의 방식입니다. 문제를 최소화하기 위해 소프트웨어 개발 회사는 소프트웨어 개발 수명 주기에 코드 검토를 포함합니다. 그러나 신중한 전문가 검토조차도 모든 것을 파악할 수는 없습니다. 실시간 및 예산 제한이 이를 악화시킵니다. 이 때문에 버그는 프로덕션 시스템으로 이동합니다. 일부 버그는 거의 또는 전혀 영향을 미치지 않지만 다른 버그는 심각한 보안 취약점을 유발할 수 있습니다.

보안 취약점은 어떤 식으로든 시스템의 보안에 영향을 미치는 버그 클래스입니다. 가능한 결과는 광범위하지만 결국 모든 보안 취약점은 모두에게 좋지 않습니다. 불행히도 버그를 찾는 것은 어렵고 시간이 많이 소요될 수 있습니다. 개발자는 버그 테스트에 제한된 시간만 할애할 수 있지만, 다른 그룹인 사용자는 애플리케이션을 사용하는 데 훨씬 더 많은 시간을 할애합니다.

결합된 시스템 사용자는 해당 시스템의 개발자가 할 수 있는 것보다 훨씬 더 많은 시간을 시스템에 소비합니다. 그들은 또한 훨씬 더 다양한 장치를 사용합니다. 이를 결합하면 많은 눈과 에지 케이스와 같은 버그를 찾기 위한 완벽한 환경이 됩니다.

사용자를 작업에 투입

버그를 해결하기 위해 사용자를 사용하는 전통적인 방법은 사용자가 발견한 버그를 보고할 수 있는 일부 오류 보고 기능을 갖는 것입니다. 개발자는 이 정보를 사용하여 문제를 복제, 식별 및 해결할 수 있습니다. 문제는 사용자가 문제를 보고할 최소한의 인센티브가 있다는 것입니다. 이는 시간이 걸리고 잠재적인 개인 정보 보호 문제가 있으며 일반적으로 문제가 해결되더라도 피드백을 받지 못하는 프로세스입니다.

보안 취약점은 더욱 심각합니다. 악의적인 사용자는 발견한 취약성을 적극적으로 사용하도록 선택할 수 있습니다. 문제에 따라 암시장이나 몸값 또는 협박을 통해 가치 있는 것에 접근할 수 있습니다. 또는 암시장에서 취약성에 대한 지식을 판매하는 것이 가능합니다. 어느 쪽이든 사용자는 버그를 보고할 동기가 없고 보안 취약점을 보고할 동기가 없습니다.

역전

버그 바운티 시스템은 상황을 역전시켜 보안 문제를 적극적으로 보고하도록 장려하는 방법입니다. 방법은 간단하고 보람이 있습니다. 표준 방법은 금전적 현상금을 지불하고 기여에 대한 대중의 인정을 제공하는 것입니다. 이는 보안 취약점을 보고한 사용자에게 직접적인 보상을 제공하고 올바른 일을 하도록 권장합니다.

버그 바운티 시스템은 일반적으로 누구에게나 열려 있습니다. 보안 취약점을 식별하는 모든 사용자는 이를 보고하고 보상을 받을 수 있습니다. 그러나 몇 가지 주의 사항이 있습니다. 급여를 받으려면 일반적으로 문제를 보고하는 첫 번째 사람이어야 하지만 예외적인 상황에서 드물게 예외가 있는 경우도 있습니다. 또한 규칙을 따라야 합니다.

버그 바운티 시스템의 규칙은 귀하가 그 안에 머무르는 경우 법적 조치로부터 포괄적인 보호를 제공합니다. 그들은 종종 상세하지만 비교적 간단합니다. 다른 사람의 데이터에 액세스하지 말고, 취약점을 악의적으로 사용하지 말고 비공개로 책임감 있게 공개하십시오. 또한 제한 사항으로 간주되는 항목이 있을 수 있습니다.

보상은 어떤가요?

현실적으로 보상은 선의를 기반으로 합니다. “이로 인해 데이터 유출이 발생했다면 훨씬 더 큰 벌금을 물어야 한다”는 요소도 있다. 일반적으로 회사는 상대적으로 적은 금액을 지불합니다. 그러나 이것은 기자에게 상당히 많은 것일 수 있습니다. 일부 버그는 100달러 미만으로 지불될 수 있습니다. 그러나 극단적인 경우 일부 회사는 심각한 취약점에 대해 십만 달러를 지불했습니다. 물론 대부분의 현상금은 그보다 훨씬 낮습니다.

역사적으로 버그 포상금은 훨씬 낮았으며 때로는 단순한 감사의 표시에 가깝습니다. 예를 들어, 무료 티셔츠를 보내거나 서비스에 대한 무료 평생 구독을 제공합니다. 하지만 거대 기술 기업들은 버그 바운티 플랫폼의 등장과 함께 시장을 성장시켰습니다. 버그 바운티 플랫폼은 많은 클라이언트의 버그 바운티 프로그램을 호스팅하는 웹사이트입니다. 그들은 모든 것을 한 곳으로 묶습니다. 이를 통해 소규모 조직에서 버그 바운티 시스템을 훨씬 쉽게 실행할 수 있습니다. 이를 수행하는 방법 중 하나는 단순히 프로세스를 표준화하는 것입니다.

물론 버그 현상금의 보상은 암시장에서 버그를 판매하여 얻을 수 있는 것보다 훨씬 적습니다. 이 개념은 일반적으로 대부분의 사람들이 옳은 일을 하기를 원한다고 믿습니다. 또는 적어도 그들은 법을 어기고 다시 그들을 괴롭히는 위험을 원하지 않습니다.

결론

버그 바운티는 보안 취약점을 찾아 책임감 있게 공개한 것에 대해 보상을 지급하는 시스템입니다. 사용자가 제품의 보안을 테스트하고 개선하도록 적극적으로 권장합니다. 그것은 회사에 최소한의 비용으로 테스트 프로세스에 많은 새로운 시각을 제공합니다. 물론 버그 바운티 시스템에 참여하는 사람으로서 조심하고 규칙을 이해하는 것이 필수적입니다.

해킹은 불법입니다. 버그 바운티 프로그램은 몇 가지 테스트를 허용하지만 일반적으로 제한 사항을 포함합니다. 규칙을 따르지 않으면 형사 책임을 질 수 있습니다. 규칙을 준수하고 버그를 찾아 보고하면 상당한 보상을 받고 자신과 다른 사용자의 보안을 강화할 수 있습니다.