Bug Bounty
Програма Bug Bounty (англ. bug — баг: жаргонізм, що означає помилку в системі; англ. bounty — подарунок, премія, щедрість) — програма, яку пропонують багато вебсайтів та розробників програмного забезпечення, за допомогою якої люди можуть отримати визнання і винагороду за находження помилок, особливо тих, які стосуються експлойтів і вразливостей. Це дозволяє розробникам усунути помилки, перш ніж широка громадськість дізнається про них, запобігаючи випадкам масових зловживань. Програми Bug bounty були реалізовані в компаніях Mozilla[1][2], Facebook[3], Yahoo![4], Google[5], Reddit[6], Square[7] і Microsoft[8].
Історія
Ця стаття містить правописні, лексичні, граматичні, стилістичні або інші мовні помилки, які треба виправити. |
Вперше програму «Bug Bounty» організував Джарретт Рідлінхафер, коли працював у Netscape Communications Corporation інженером технічної підтримки.
Корпорація заохочувала своїх співробітників, щоб просувати їх і робити все необхідне, щоб отримати роботу і, на початку 1996 року, Джаррет Рідлінхафер надихнувся ідеєю і придумав фразу, 'Bugs Bounty'.
Він усвідомлював, що в корпорації є багато ентузіастів і ІТ-євангелістів для своїх продуктів, деякі з яких йому навіть здавалися, фанатичними, особливо Mosaic / Netscape / Mozilla браузер. Він почав досліджувати ситуацію більш детально і виявив, що більшість ентузіастів були насправді розробниками програмного забезпечення. Вони виправляли помилки продуктів самостійно і публікували виправлення або поліпшення продуктів:
- в новинних форумах, які були створені відділом технічної підтримки компанії Netscape для можливості «самодопомоги через співпрацю» (ще одна з ідей Рідлінхафера під час чотирирічної роботи в корпорації); або
- на неофіційному «Netscape U-FAQ» сайті, де кожна відома помилка і особливість браузера були включені в перелік, а також інструкції щодо усунення помилок і виправлень.
Рідлінхафер думав, що компанія повинна використовувати ці ресурси і написав пропозицію своєму менеджеру про 'Netscape Bugs Bounty Program', який, в свою чергу, запропонував Рідлінхаферу представити її на наступному виконавчому засіданні компанії.
На наступному виконавчому засіданні, в якому прймали участь Джеймс Барксдейл, Марк Андрессен і віце-президенти кожного відділу cо своїм продуктом, кожному члену була вручена копія пропозиції 'Netscape Bugs Bounty Program' і Рідлінхафер був запрошений представити свою ідею Виконавчій команді Netscape.
Всі присутні на зборах прийняли ідею, за винятком віце-президента інженерії, який не хотів рухатися вперед, вважаючи це марною тратою часу. Однак, віце-президент по інженерії був відкинутий і Рідлінхаферу дали початковий бюджет $50 тис., щоб почати роботу зі своєю пропозицією і перша офіційна 'Bugs Bounty' програма була запущена в 1995 році[9][10][11].
Програма мала настільки величезний успіх, що це згадується в багатьох книгах про успіхи Netscape корпорації.
Інциденти
У серпні 2013 роки студент факультету комп'ютерних наук на ім'я Халіль використовував експлойт, щоб відправити лист на стіну Facebook засновника сайту Марка Цукерберга. За словами хакера, він намагався повідомити про уразливість, використовуючи програму bug bounty для Facebook, але через розпливчасті і неповні звіти, команда сказала йому, що його вразливість була помилкою[12].
![](http://upload.wikimedia.org/wikipedia/commons/thumb/f/f4/Facebook_t-shirt_with_whitehat_debit_card_for_Hackers.jpg/255px-Facebook_t-shirt_with_whitehat_debit_card_for_Hackers.jpg)
Facebook почали платити дослідникам, які знаходять і повідомляють про помилки безпеки, випускаючи на замовлення під маркою «White Hat» дебетові карти, на які можуть бути завантажені кошти кожен раз, коли дослідники знаходять нові недоліки і помилки. «Дослідники, які знаходять помилки і можливості щодо поліпшення системи безпеки, рідкісні, і ми їх цінуємо і повинні винагороджувати їх»,- Райан Макгіхан, колишній менеджер Facebook з безпеки, група реагування, повідомляє сайт CNET в інтерв'ю. "Наявність цієї ексклюзивної чорної карти — це ще один спосіб знайти їх. Вони можуть на конференції показати цю картку і сказати: «Я зробив спеціальну роботу для Facebook»[13]. У 2014 році Facebook припинила видачу дебетових карт для дослідників.
Індія, яка посідає друге місце в світі за кількістю мисливців за уразливостями[14], очолює програму Bug Bounty Facebook по знаходженню найбільшої кількості помилок. «Дослідники Росії заробили найбільшу суму з доповіді 2013 року, отримавши в середньому $ 3,961 за 38 помилок. Індія внесла вклад за найбільшу кількість знайдених помилок 136, в середньому винагорода склала $ 1,353. США повідомили про 92 помилки, в середньому винагорода склала $ 2,272. Бразилія і Велика Британія стали третьою і четвертою країною за обсягом, 53 і 40 помилок, відповідно, і середнє винагородження в розмірі $ 3,792 і $ 2,950», Facebook процитувала в пості[15].
Компанія Yahoo! була піддана жорсткій критиці за розсилку футболок як нагороду для дослідників в галузі безпеки за виявлення і повідомлення про уразливість в Yahoo!, стали називати T-shirt-gate[16]. High-Tech Bridge, в Женеві, Швейцарії — система безпеки, на основі тестування компанія випустила прес-реліз, в якому говорилося, що Yahoo! запропонувала $12.50 в кредит на уразливості, які можуть бути використані до компанії Yahoo — брендові речі, такі як футболки, чашки і ручки з магазину. Рамзес Мартінес, директор Yahoo з інформаційної безпеки заявив пізніше в своєму блозі, що він був за ваучер нагороди, і що він фактично платив за них з власної кишені[17]. Зрештою, Компанія Yahoo! запустила свою нову програму Bug Bounty 31 жовтня того ж року, що дозволяє дослідникам безпеки уявити помилки і отримувати нагороди від 250 і $15,000, в залежності від важливості виявлених помилок[18].
Відомі програми
У жовтні 2013 року компанія Google анонсувала суттєві зміни в їх програму винагород для білих капелюхів. Раніше програма bug bounty охоплювала багато продуктів Google. Однак, програма була розширена, щоб включати вибір високого ризику вільного програмного забезпечення додатків і бібліотек, в першу чергу тих, які призначені для мереж або для функціональності низькорівневої операційної системи. Хакери матимуть право на отримання винагороди в межах від $500 до $ 3133,70[19][20].
Аналогічним чином, компанії Microsoft і Facebook об'єдналися в листопаді 2013 року спонсорувати в мережі Bug Bounty програми, щоб запропонувати нагороду за звітні хакі і експлойти для широкого спектора програмного забезпечення, пов'язаного з Інтернетом[21]. Програмне забезпечення яке розповсюджується IBB (Internet Business Bureau) включає в себе Adobe Flash, Python, Ruby, PHP, Django, Ruby on Rails, Perl, OpenSSL, Nginx, Apache HTTP Server і Phabricator. Крім того, в рамках програми пропонується нагорода за ширші помилки, що зачіпають операційні системи і веб-браузери, а також Інтернет в цілому[22].
У березні 2016 року, Пітер Кук оголосив першу програму bug bounty федерального уряду, «зламати Пентагон»[23]. Програма проходила з 18 квітня по 12 травня і понад 1400 осіб подали 138 унікальних звітів через HackerOne. Загалом, Міністерство оборони США виплатило $ 71,200[24]. У червні, міністр оборони Еш Картер, зустрівся з двома учасниками, Девідом Дворкеном і Крейгом Арендом, щоб подякувати їм за їх участь в програмі[25].
Примітки
- ↑ Mozilla Security Bug Bounty Program. Mozilla (амер.). Процитовано 11 квітня 2018.
- ↑ Mozilla Revamps Bug Bounty Program | SecurityWeek.Com. www.securityweek.com (англ.). Процитовано 11 квітня 2018.
- ↑ Facebook. www.facebook.com (укр.). Процитовано 11 квітня 2018.
- ↑ Vulnerability disclosure for Yahoo!. HackerOne (англ.). Процитовано 11 квітня 2018.
- ↑ Program Rules – Application Security – Google. www.google.com (англ.). Процитовано 11 квітня 2018.
- ↑ whitehat - reddit.com. www.reddit.com (укр.). Процитовано 11 квітня 2018.
- ↑ Vulnerability disclosure for Square. HackerOne (англ.). Процитовано 11 квітня 2018.
- ↑ Microsoft Announces Windows Bug Bounty Program and Extension of Hyper-V Bounty Program. xda-developers (амер.). 26 липня 2017. Процитовано 11 квітня 2018.
- ↑ Press Release. 1 травня 1997. Процитовано 11 квітня 2018.
- ↑ The History of Bug Bounty Programs – Cobalt.io. Cobalt.io. 11 квітня 2014. Процитовано 11 квітня 2018.
- ↑ Richey, Erin. CenturyLinkVoice: Why Companies Like Pinterest Run Bug Bounty Programs Through The Cloud. Forbes (англ.). Процитовано 11 квітня 2018.
- ↑ Hacker posts Facebook bug report on Zuckerberg’s wall. RT International (амер.). Процитовано 11 квітня 2018.
- ↑ Facebook hands out White Hat debit cards to hackers. CNET (англ.). 31 грудня 2011. Процитовано 11 квітня 2018.
- ↑ dna Special: Indians are world's top bug bounty hunters | Latest News & Updates at Daily News & Analysis. dna (амер.). 4 вересня 2013. Процитовано 11 квітня 2018.
- ↑ Bug Bounty Highlights and Updates. www.facebook.com (укр.). Процитовано 11 квітня 2018.
- ↑ Osborne, Charlie. Yahoo changes bug bounty policy following 't-shirt gate' | ZDNet. ZDNet (англ.). Процитовано 11 квітня 2018.
- ↑ So I’m the guy who sent the t-shirt out as a thank you. Yahoo Developer Network. Процитовано 11 квітня 2018.
- ↑ The Bug Bounty Program is Now Live. Yahoo Developer Network. Процитовано 11 квітня 2018.
- ↑ Google offers “leet” cash prizes for updates to Linux and other OS software. Ars Technica (en-us) . Процитовано 11 квітня 2018.
- ↑ Going beyond vulnerability rewards. Google Online Security Blog (амер.). Процитовано 11 квітня 2018.
- ↑ Now there’s a bug bounty program for the whole Internet. Ars Technica (en-us) . Процитовано 11 квітня 2018.
- ↑ Open Source Hacking - A Bug Bounty Program for Core Internet - HackerOne. HackerOne (англ.). Процитовано 11 квітня 2018.
- ↑ DoD Invites Vetted Specialists to ‘Hack’ the Pentagon. U.S. DEPARTMENT OF DEFENSE (амер.). Процитовано 11 квітня 2018.
- ↑ Hack The Pentagon - A Department of Defense Vulnerability Program. HackerOne (англ.). Процитовано 11 квітня 2018.
- ↑ 18-year-old hacker honored at Pentagon. Stars and Stripes. Процитовано 11 квітня 2018.
Посилання
- Independent International List of Bug Bounty & Disclosure Programs
- Crowd Bug Bounty List
- The Internet Bug Bounty List
- AT&T Bug Bounty Program
- PayPal Inc Bug Bounty Program
- Facebook Whitehat Bug Bounty Program
- United Airlines Bug Bounty Program
- Google Vulnerability Reward Program
- Zerodium Premium Vulnerability Acquisition Program
- The History of Bug Bounty Programs