Bug Bounty -ohjelma on joidenkin verkkosivustojen ja ohjelmistokehittäjien tarjoama ohjelma, jonka avulla ihmiset voidaan tunnistaa ja palkita vikojen löytämisestä , erityisesti niistä, jotka liittyvät hyväksikäyttöihin ja haavoittuvuuksiin . Näiden ohjelmien avulla kehittäjät voivat havaita ja korjata vikoja ennen kuin ne tulevat suuren yleisön tietoon, mikä estää väärinkäytön. Erityisesti Bug Bounty -ohjelmat toteutti Facebook , [1] Yahoo! , [2] Google , [3] Reddit , [4] Square , Apple ja Microsoft. [5]
Bug Bounty -ohjelman loi alun perin Jarrett Ridlinhafer, kun hän työskenteli Netscape Communications Corporationissa teknisen tuen insinöörinä. Yhtiö rohkaisi työntekijöitään nousemaan yrityksen tikkaita ylöspäin ja tekemään kaiken tarvittavan työn suorittamiseksi.
Vuoden 1996 alussa Jarrett Ridlinhafer keksi lauseen ja idean Bugs Bountylle. Hän tiesi, että yhtiössä oli monia eri tuotteiden harrastajia ja IT-evankelistoja , joista osa vaikutti hänestä jopa fanaattisilta, varsinkin Mosaic / Netscape / Mozilla-selaimen suhteen . Hän alkoi tutkia tilannetta tarkemmin ja huomasi, että suurin osa harrastajista oli itse asiassa ohjelmistokehittäjiä. He korjasivat itse tuotevirheet ja julkaisivat tuotekorjauksia tai parannuksia:
Ridlinhafer katsoi, että yrityksen pitäisi käyttää näitä resursseja, ja kirjoitti johtajalleen ehdotuksen Netscape Bugs Bounty -ohjelmasta , joka kutsui Ridlinhaferin esittelemään sen yhtiön seuraavassa johtokunnan kokouksessa.
Seuraavassa johtoryhmän kokouksessa, johon osallistuivat James Barksdale, Mark Andreessen ja kaikkien osastojen varapuheenjohtajat, mukaan lukien tuotekehitys, jokaiselle jäsenelle annettiin kopio Netscape Bugs Bounty -ohjelman ehdotuksesta, ja Ridlinhafer kutsuttiin esittelemään ideansa Netscapen osastolle. ylin johto .
Kaikki kokoukseen osallistuneet hyväksyivät idean, lukuun ottamatta insinöörijohtajaa , joka ei halunnut edetä, koska se piti sitä ajanhukkaa. Hänen mielipiteensä kuitenkin hylättiin, ja Ridlinhaferille annettiin alkuperäinen 50 000 dollarin budjetti aloittaakseen ehdotuksensa käsittelyn. Ensimmäinen virallinen Bugs Bounty -ohjelma lanseerattiin vuonna 1995. [6] [7] [8]
Ohjelma oli niin suuri menestys, että se on esillä monissa Netscapen menestyskirjoissa.
Elokuussa 2013 tietojenkäsittelytieteen opiskelija nimeltä Khalil ilmoitti Facebookissa hyväksikäytöstä , joka antoi kenen tahansa lähettää videon kenen tahansa tilille. Sähköpostiensa mukaan hän yritti ilmoittaa haavoittuvuudesta osana Facebookin Bug Bounty -ohjelmaa, mutta Facebook ymmärsi hänet väärin. Myöhemmin hän itse käytti tätä hyväksikäyttöä Facebookin johtajan Mark Zuckerbergin puolesta , joten häneltä evättiin palkinto. [9]
Facebook on alkanut maksaa tietoturvavirheitä löytäville ja niistä ilmoittaville tutkijoille myöntämällä heille erityisiä "White Hat" -maksukortteja, jotka hyvitetään aina, kun tutkijat löytävät uusia vikoja ja bugeja. "Tutkijat, jotka löytävät virheitä ja mahdollisuuksia parantaa turvajärjestelmää, ovat harvinaisia, ja arvostamme niitä ja meidän pitäisi palkita heidät" , Facebookin entinen tietoturvapäällikkö Ryan McGeehan kertoi CNET: lle. ”Tämän eksklusiivisen mustan kortin saaminen on toinen tapa tunnistaa heidän ansiot. He voivat näyttää tätä korttia konferenssissa ja sanoa: Tein erityisen työn Facebookille. [10] Vuonna 2014 Facebook lopetti pankkikorttien myöntämisen tutkijoille.
Intia, joka on haavoittuvuuksien metsästäjien määrässä maailman ensimmäisten joukossa, [11] johtaa Facebook Bug Bounty -ohjelmaa löydettyjen virheiden määrässä.
Yahoo! Häntä kritisoitiin voimakkaasti T-paitojen lähettämisestä palkintona tietoturvatutkijoille Yahoon haavoittuvuuksien löytämisestä ja niistä raportoimisesta. Tämä tapahtuma tunnettiin nimellä T-paita-portti ("T-paita-portti"). [12] Turvatestausyritys High-Tech Bridge ( Geneve , Sveitsi ) julkaisi lehdistötiedotteen , jonka mukaan Yahoo! tarjosi 12,50 dollarin luottoa haavoittuvuuksista, joita voitiin käyttää merkkituotteiden, kuten T-paitojen, kuppien ja kynien, ostamiseen Yahoo-kaupasta. Ramses Martinez, Yahoon tietoturvajohtaja, totesi myöhemmin blogikirjoituksessaan [13] , että hän oli ohjelman takana ja maksoi sen itse asiassa omasta taskustaan. Tämän seurauksena Yahoo! lanseerasi uuden Bug Bounty -ohjelman 31. lokakuuta samana vuonna, jonka avulla käyttäjät voivat ilmoittaa haavoittuvuuksista ja saada palkintoja 250 - 15 000 dollaria riippuen löydettyjen virheiden kriittisyydestä. [neljätoista]
Samanlaisen ongelman kohtasi Ecava, joka käynnisti ensimmäisen ICS Bug Bounty -ohjelman vuonna 2013 [ 15] [16] . Häntä kritisoitiin siitä, että hän tarjosi kaupassaan luottoa oikean rahan sijaan, mikä ei herättänyt innostusta tutkijoissa [17] . Ecavan mukaan ohjelma oli alun alkaen tarkoitettu rajoitetuksi ja keskittynyt heidän IntegraXor SCADA -tuotteensa käyttäjien turvallisuuteen [15] [16] .
Lokakuussa 2013 Google ilmoitti merkittävästä muutoksesta bugipalkkio-ohjelmaansa. Aiemmin Bug Bounty -ohjelma kattoi monia Googlen tuotteita. Ohjelmaa on kuitenkin laajennettu sisältämään useita korkean riskin ilmaisia sovelluksia ja kirjastoja , jotka on suunniteltu ensisijaisesti verkkokäyttöön tai matalan tason käyttöjärjestelmän toimivuuteen. Googlen ohjeiden mukaiset raportit voidaan palkita 500–3133,70 dollarilla. [18] [19]
Vastaavasti Microsoft ja Facebook liittoutuivat marraskuussa 2013 sponsoroidakseen The Internet Bug Bountya, joka tarjoaa palkkion useiden Internetiin liittyvien ohjelmistojen haavoittuvuuksista ja hyväksikäytöistä ilmoittamisesta. [20] Vuonna 2017 tätä ohjelmaa sponsoroivat GitHub ja Ford Foundation ; sitä pyörittävät Uberin, Microsoftin, Facebookin, Adoben ja HackerOnen vapaaehtoiset. [21] Se sisältää tuotteita, kuten Adobe Flash , Python , Ruby , PHP , Django , Ruby on Rails , Perl , OpenSSL , nginx , Apache HTTP Server ja Phabricator . Lisäksi ohjelma tarjosi palkinnon laajempien haavoittuvuuksien tunnistamisesta, jotka vaikuttavat laajalti käytettyihin käyttöjärjestelmiin ja verkkoselaimiin sekä Internetiin yleensä. [22]
Maaliskuussa 2016 Peter Cook ilmoitti Yhdysvaltain liittohallituksen ensimmäisestä Bug Bounty -ohjelmasta, Hack the Pentagonista . [23] Ohjelma kesti 18. huhtikuuta - 12. toukokuuta, ja yli 1 400 ihmistä lähetti 138 ainutlaatuista raporttia HackerOnen kautta. Yhteensä Yhdysvaltain puolustusministeriö maksoi 71 200 dollaria. [24] Kesäkuussa puolustusministeri Ash Carter tapasi kaksi osallistujaa, David Dworkenin ja Craig Arendin, kiittääkseen heitä heidän osallistumisestaan ohjelmaan. [25]
Open Bug Bounty on vuonna 2014 käynnistetty kollektiivinen bugipalkkio-ohjelma, jonka avulla voit ilmoittaa verkkosivustojen ja verkkosovellusten haavoittuvuuksista toivoen, että niiden omistajat palkitsevat sinut.
8. joulukuuta 2020 kazakstanilainen kyberturvallisuuspalveluita tarjoava yritys ULE "Center for Analysis and Investigation of Cyber Attacks" käynnisti kansallisen alustan haavoittuvuuksien tunnistamiseksi BugBounty.kz . Alustaan liitettiin yksityisten yritysten lisäksi myös valtion elinten tietojärjestelmiä ja resursseja. Alustan julkaisusta 28. lokakuuta 2021 asti on vastaanotettu 1 039 haavoittuvuusraporttia. Alustan toiminnan aikana tunnistettiin haavoittuvuuksia, jotka johtivat henkilötietojen vuotamiseen kriittisistä tieto- ja viestintäinfrastruktuurilaitoksista ja kokonaisen kaupungin elämää ylläpitävien järjestelmien hallintaan.
Vuonna 2021 Cyberpolygon LLC julkisti ja julkaisi BugBounty.ru- alustan , joka on ensimmäinen alusta Venäjän federaatiossa haavoittuvuuksien etsimiseen sekä vianmetsästäjien ja resurssien omistajien väliseen vuorovaikutukseen. Ohjelman käynnistämisen jälkeen on tunnistettu useita satoja haavoittuvuuksia pienistä superkriittisiin.
Vuonna 2022 Positive Technologies [26] esitteli [27] alustansa The Standoff 365 Bug Bounty . Ensimmäistä kertaa sen tietoturvatutkijat voidaan palkita paitsi haavoittuvuuksien löytämisestä myös liiketoimintariskien toteuttamisesta . Kahdessa kuukaudessa yli 900 tietoturvatutkijaa on rekisteröitynyt alustalle.