Bug Bounty

Програма Bug Bounty (англ. bug — баг: жаргонізм, що означає помилку в системі; англ. bounty — подарунок, премія, щедрість) — програма, яку пропонують багато вебсайтів та розробників програмного забезпечення, за допомогою якої люди можуть отримати визнання і винагороду за находження помилок, особливо тих, які стосуються експлойтів і вразливостей. Це дозволяє розробникам усунути помилки, перш ніж широка громадськість і хакери дізнаються про них, запобігаючи випадкам масових зловживань. Програми Bug bounty були реалізовані в компаніях Mozilla, Facebook, Yahoo!, Google, Reddit, Square і Microsoft.

Історія

Вперше програму «Bug Bounty» організував Джарретт Рідлінхафер, коли працював у Netscape Communications Corporation інженером технічної підтримки.

Корпорація заохочувала своїх співробітників, щоб просувати їх і робити все необхідне, щоб отримати роботу і, на початку 1996 року, Джаррет Рідлінхафер надихнувся ідеєю і придумав фразу, 'Bugs Bounty'.

Він усвідомлював, що в корпорації є багато ентузіастів і ІТ-євангелістів для своїх продуктів, деякі з яких йому навіть здавалися, фанатичними, особливо Mosaic / Netscape / Mozilla браузер. Він почав досліджувати ситуацію більш детально і виявив, що більшість ентузіастів були насправді розробниками програмного забезпечення. Вони виправляли помилки продуктів самостійно і публікували виправлення або поліпшення продуктів:

• в новинних форумах, які були створені відділом технічної підтримки компанії Netscape для можливості «самодопомоги через співпрацю» (ще одна з ідей Рідлінхафера під час чотирирічної роботи в корпорації); або

• на неофіційному «Netscape U-FAQ» сайті, де кожна відома помилка й особливість браузера були включені в перелік, а також інструкції щодо усунення помилок і виправлень.

Рідлінхафер думав, що компанія повинна використовувати ці ресурси й написав пропозицію своєму менеджеру про 'Netscape Bugs Bounty Program', який, своєю чергою, запропонував Рідлінхаферу представити її на наступному виконавчому засіданні компанії.

На наступному виконавчому засіданні, в якому брали участь Джеймс Барксдейл, Марк Андреессен і віцепрезиденти кожного відділу зі своїм продуктом, кожному члену була вручена копія пропозиції 'Netscape Bugs Bounty Program' і Рідлінхафер був запрошений представити свою ідею Виконавчій команді Netscape.

Всі присутні на зборах прийняли ідею, за винятком віцепрезидента інженерії, який не хотів рухатися вперед, вважаючи це марною тратою часу. Однак, віцепрезидент по інженерії був відкинутий і Рідлінхаферу дали початковий бюджет $50 тис., щоб почати роботу зі своєю пропозицією і перша офіційна 'Bugs Bounty' програма була запущена в 1995 році.

Програма мала настільки величезний успіх, що це згадується в багатьох книгах про успіхи Netscape корпорації.

Інциденти

У серпні 2013 роки студент факультету комп'ютерних наук, на ім'я Халіль використовував експлойт, щоб відправити лист на стіну Facebook засновника сайту Марка Цукерберга. За словами хакера, він намагався повідомити про уразливість, використовуючи програму bug bounty для Facebook, але через розпливчасті й неповні звіти, команда сказала йому, що його вразливість була помилкою.

Дебетова картка Facebook «Білий капелюх», яка надається дослідникам, які повідомляють про помилки безпеки

Facebook почали платити дослідникам, які знаходять і повідомляють про помилки безпеки, випускаючи на замовлення під маркою «White Hat» дебетові карти, на які можуть бути завантажені кошти кожен раз, коли дослідники знаходять нові недоліки й помилки. «Дослідники, які знаходять помилки й можливості щодо поліпшення системи безпеки, рідкісні, і ми їх цінуємо і повинні винагороджувати їх», — Райан Макгіхан, колишній менеджер Facebook з безпеки, група реагування, повідомляє сайт CNET в інтерв'ю. "Наявність цієї ексклюзивної чорної карти — це ще один спосіб знайти їх. Вони можуть на конференції показати цю картку і сказати: «Я зробив спеціальну роботу для Facebook». У 2014 році Facebook припинила видачу дебетових карт для дослідників.

Індія, яка посідає друге місце у світі за кількістю мисливців за уразливостями, очолює програму Bug Bounty Facebook по знаходженню найбільшої кількості помилок. «Дослідники Росії заробили найбільшу суму з доповіді 2013 року, отримавши в середньому $ 3,961 за 38 помилок. Індія зробила внесок за найбільшу кількість знайдених помилок 136, в середньому винагорода склала $ 1,353. США повідомили про 92 помилки, в середньому винагорода склала $ 2,272. Бразилія і Велика Британія стали третьою і четвертою країною за обсягом, 53 і 40 помилок, відповідно, і середнє винагородження в розмірі $ 3,792 і $ 2,950», Facebook процитувала в пості.

Компанія Yahoo! була піддана жорсткій критиці за розсилку футболок як нагороду для дослідників в галузі безпеки за виявлення і повідомлення про уразливість в Yahoo!, стали називати T-shirt-gate. High-Tech Bridge, в Женеві, Швейцарії — система безпеки, на основі тестування компанія випустила пресреліз, в якому говорилося, що Yahoo! запропонувала $12.50 в кредит на уразливості, які можуть бути використані до компанії Yahoo — брендові речі, такі як футболки, чашки й ручки з магазину. Рамзес Мартінес, директор Yahoo з інформаційної безпеки заявив пізніше у своєму блозі, що він був за ваучер нагороди, і що він фактично платив за них з власної кишені. Зрештою, Компанія Yahoo! запустила свою нову програму Bug Bounty 31 жовтня того ж року, що дозволяє дослідникам безпеки уявити помилки й отримувати нагороди від 250 і $15,000, залежно від важливості виявлених помилок.

Відомі програми

У жовтні 2013 року компанія Google анонсувала суттєві зміни в їх програму винагород для білих капелюхів. Раніше програма bug bounty охоплювала багато продуктів Google. Однак, програма була розширена, щоб включати вибір високого ризику вільного програмного забезпечення додатків і бібліотек, в першу чергу тих, які призначені для мереж або для функціональності низькорівневої операційної системи. Хакери матимуть право на отримання винагороди в межах від $500 до $ 3133,70.

Аналогічним чином, компанії Microsoft і Facebook об'єдналися в листопаді 2013 року спонсорувати в мережі Bug Bounty програми, щоб запропонувати нагороду за звітні хакі й експлойти для широкого спектра програмного забезпечення, пов'язаного з Інтернетом. Програмне забезпечення яке розповсюджується IBB (Internet Business Bureau) містить Adobe Flash, Python, Ruby, PHP, Django, Ruby on Rails, Perl, OpenSSL, Nginx, Apache HTTP Server і Phabricator. Крім того, в рамках програми пропонується нагорода за ширші помилки, що зачіпають операційні системи й веббраузери, а також Інтернет в цілому.

У березні 2016 року, Пітер Кук оголосив першу програму bug bounty федерального уряду, «зламати Пентагон». Програма проходила з 18 квітня по 12 травня і понад 1400 осіб подали 138 унікальних звітів через HackerOne. Загалом, Міністерство оборони США виплатило $ 71,200. У червні, міністр оборони Еш Картер, зустрівся з двома учасниками, Девідом Дворкеном і Крейгом Арендом, щоб подякувати їм за їх участь в програмі.

Див. також

• Білий хакінг

Примітки

1. . Mozilla (амер.). Архів оригіналу за 21 липня 2018. Процитовано 11 квітня 2018.
2. . www.securityweek.com (англ.). Архів оригіналу за 12 квітня 2018. Процитовано 11 квітня 2018.
3. . www.facebook.com (укр.). Архів оригіналу за 1 серпня 2018. Процитовано 11 квітня 2018.
4. . HackerOne (англ.). Архів оригіналу за 26 лютого 2018. Процитовано 11 квітня 2018.
5. . www.google.com (англ.). Архів оригіналу за 11 березня 2014. Процитовано 11 квітня 2018.
6. . www.reddit.com (укр.). Архів оригіналу за 12 квітня 2018. Процитовано 11 квітня 2018.
7. . HackerOne (англ.). Архів оригіналу за 1 серпня 2018. Процитовано 11 квітня 2018.
8. . xda-developers (амер.). 26 липня 2017. Архів оригіналу за 27 липня 2017. Процитовано 11 квітня 2018.
9. . 1 травня 1997. Архів оригіналу за 1 травня 1997. Процитовано 11 квітня 2018.
10. The History of Bug Bounty Programs – Cobalt.io. Cobalt.io. 11 квітня 2014. Процитовано 11 квітня 2018.^{[недоступне посилання]}
11. Richey, Erin. . Forbes (англ.). Архів оригіналу за 12 квітня 2018. Процитовано 11 квітня 2018.
12. . RT International (амер.). Архів оригіналу за 12 квітня 2018. Процитовано 11 квітня 2018.
13. . CNET (англ.). 31 грудня 2011. Архів оригіналу за 26 лютого 2018. Процитовано 11 квітня 2018.
14. . dna (амер.). 4 вересня 2013. Архів оригіналу за 24 вересня 2015. Процитовано 11 квітня 2018.
15. . www.facebook.com (укр.). Архів оригіналу за 11 листопада 2020. Процитовано 11 квітня 2018.
16. Osborne, Charlie. . ZDNet (англ.). Архів оригіналу за 19 червня 2017. Процитовано 11 квітня 2018.
17. . Yahoo Developer Network. Архів оригіналу за 18 квітня 2018. Процитовано 11 квітня 2018.
18. . Yahoo Developer Network. Архів оригіналу за 21 грудня 2019. Процитовано 11 квітня 2018.
19. . Ars Technica (en-us) . Архів оригіналу за 15 червня 2018. Процитовано 11 квітня 2018.
20. . Google Online Security Blog (амер.). Архів оригіналу за 28 травня 2018. Процитовано 11 квітня 2018.
21. . Ars Technica (en-us) . Архів оригіналу за 8 вересня 2017. Процитовано 11 квітня 2018.
22. . HackerOne (англ.). Архів оригіналу за 30 березня 2018. Процитовано 11 квітня 2018.
23. . U.S. DEPARTMENT OF DEFENSE (амер.). Архів оригіналу за 12 квітня 2018. Процитовано 11 квітня 2018.
24. . HackerOne (англ.). Архів оригіналу за 2 липня 2017. Процитовано 11 квітня 2018.
25. . Stars and Stripes. Архів оригіналу за 12 квітня 2018. Процитовано 11 квітня 2018.

Посилання

• Independent International List of Bug Bounty & Disclosure Programs [ 10 січня 2018 у Wayback Machine.]
• Crowd Bug Bounty List [ 26 липня 2014 у Wayback Machine.]
• The Internet Bug Bounty List [ 12 березня 2014 у Wayback Machine.]
• AT&T Bug Bounty Program [ 9 квітня 2018 у Wayback Machine.]
• PayPal Inc Bug Bounty Program [ 12 квітня 2018 у Wayback Machine.]
• Facebook Whitehat Bug Bounty Program [ 1 серпня 2018 у Wayback Machine.]
• United Airlines Bug Bounty Program [ 13 грудня 2017 у Wayback Machine.]
• Google Vulnerability Reward Program [ 11 березня 2014 у Wayback Machine.]
• Zerodium Premium Vulnerability Acquisition Program [ 22 квітня 2018 у Wayback Machine.]
• The History of Bug Bounty Programs^{[недоступне посилання]}