Ce este un Bug Bounty?

Având în vedere cât de complex este software-ul, este dificil să ne asigurăm că nu există erori. Acesta este pur și simplu modul în care lucrurile sunt concepute de om și extrem de complexe. Pentru a minimiza problema, companiile de dezvoltare de software includ recenzii de cod în ciclul de viață al dezvoltării software. Dar nici măcar o analiză atentă a experților nu poate prinde totul. Limitările bugetare și în timp real agravează acest lucru. Din această cauză, bug-urile își fac drum spre sistemele de producție. Unele erori au un efect redus sau deloc, dar altele pot introduce vulnerabilități de securitate urâte.

O vulnerabilitate de securitate este o clasă de erori care afectează într-un fel siguranța sistemului. Există o gamă largă de rezultate posibile, dar în cele din urmă, toate vulnerabilitățile de securitate sunt dăunătoare pentru toată lumea. Din păcate, găsirea erorilor poate fi dificilă și consumatoare de timp. În timp ce dezvoltatorii pot petrece doar o perioadă limitată de timp testând erori, un alt grup combinat petrece mult mai mult timp utilizând aplicația - utilizatorii.

Utilizatorii unui sistem, combinați, petrec mult mai mult timp pe un sistem decât ar putea dezvoltatorii acelui sistem. De asemenea, folosesc o varietate mult mai mare de dispozitive. Combinat, acest lucru creează mediul perfect pentru găsirea de bug-uri — mulți ochi și carcase marginale.

Punerea utilizatorilor la lucru

Modul tradițional de a folosi utilizatorii pentru a rezolva erori este de a avea o funcție de raportare a erorilor care le permite utilizatorilor să raporteze o eroare pe care o întâlnesc. Dezvoltatorii pot folosi aceste informații pentru a replica, identifica și remedia problema. Problema este că există un stimulent minim pentru ca utilizatorul să raporteze orice problemă. Este un proces care necesită timp, are potențiale implicații privind confidențialitatea și, în general, nu are ca rezultat niciun feedback, chiar dacă problema este rezolvată.

Vulnerabilitățile de securitate sunt și mai grave. Un utilizator rău intenționat ar putea alege să folosească o vulnerabilitate pe care o găsește în mod activ. În funcție de problemă, este posibil să obțineți acces la ceva valoros, fie pe piața neagră, fie prin răscumpărare sau șantaj. Alternativ, este posibil să vindeți cunoștințele despre vulnerabilitate pe piața neagră. În orice caz, utilizatorii nu sunt stimulați să raporteze erori și sunt descurajați să raporteze vulnerabilitățile de securitate.

Întoarcerea meselor

Un sistem de recompense pentru bug-uri este o modalitate de a inversa situația pentru a încuraja raportarea activă a problemelor de securitate. Metoda este simplă, răsplătindu-i. Metoda standard este de a plăti o recompensă în bani și de a oferi o recunoaștere publică a contribuției. Acest lucru îi recompensează direct pe utilizatori pentru raportarea unei vulnerabilități de securitate și îi încurajează să facă ceea ce trebuie.

Sistemele de recompense pentru erori sunt de obicei deschise oricui. Orice utilizator care identifică o vulnerabilitate de securitate poate să o raporteze și să fie plătit. Există totuși câteva avertismente. Pentru a fi plătit, în general, trebuie să fii prima persoană care raportează o problemă, deși uneori există excepții rare în circumstanțe excepționale. De asemenea, trebuie să respectați regulile.

Regulile unui sistem de recompense pentru erori oferă protecție generală împotriva acțiunilor legale dacă rămâneți în ele. Sunt adesea detaliate, dar relativ simple. Nu accesați datele altor persoane, nu utilizați vulnerabilități în mod rău intenționat și dezvăluiți-le în mod privat și responsabil. Pot exista, de asemenea, unele lucruri care sunt considerate interzise.

Cum sunt recompensele?

În mod realist, recompensele se bazează pe bunăvoință. Există, de asemenea, un element „dacă acest lucru ar cauza o încălcare a datelor, ar trebui să plătim o amendă mult mai mare”. În general, compania plătește o sumă relativ mică pentru ea. Acest lucru poate fi, totuși, destul de mult pentru reporter. Unele erori pot fi plătite cu mai puțin de o sută de dolari. În cazuri extreme, totuși, unele companii au plătit o sută de mii de dolari pentru vulnerabilități grave. Desigur, majoritatea recompenselor sunt mult mai mici decât atât.

Din punct de vedere istoric, recompensele pentru erori au fost mult mai mici și uneori mai mult de un simplu mulțumire. Trimiterea unui tricou gratuit sau oferirea unui abonament gratuit pe viață la serviciu, de exemplu. Cu toate acestea, marile companii de tehnologie au stimulat piața, la fel ca și apariția platformelor de recompense pentru erori. Platformele de recompense pentru erori sunt site-uri web care găzduiesc programele de recompense pentru erori ale multor clienți. Ei grupează totul într-un singur loc. Acest lucru face mult mai ușor pentru o organizație mai mică să ruleze un sistem de recompense pentru erori. Una dintre modalitățile prin care face acest lucru este pur și simplu prin standardizarea procesului.

Desigur, recompensa într-o recompensă pentru bug este mult mai mică decât ar putea fi obținută prin vânzarea bug-ului pe piața neagră. Conceptul are încredere că, în general, majoritatea oamenilor doresc să facă ceea ce trebuie. Sau cel puțin nu vor riscul de a încălca legea să se întoarcă să-i bântuie.

Concluzie

O recompensă pentru erori este un sistem de plată a unei recompense pentru găsirea și dezvăluirea responsabilă a unei vulnerabilități de securitate. Încurajează în mod activ utilizatorii să testeze și să îmbunătățească securitatea produselor. Aduce mulți ochi noi procesului de testare, toate cu costuri minime pentru companie. Desigur, ca persoană care participă la un sistem de recompense pentru erori, este esențial să fii atent și să înțelegi regulile.

Hackingul este ilegal; programul bug bounty permite testarea unor lucruri, dar de obicei include limitări. Dacă nu respectați regulile, puteți fi răspunzător penal. Dacă urmați regulile, găsiți și raportați o eroare, este posibil să obțineți o plată bună și să creșteți securitatea pentru dvs. și pentru alți utilizatori.