Какво е награда за грешки?

Тъй като софтуерът е сложен, е предизвикателство да се гарантира, че няма грешки. Това е просто начинът на нещата, които са създадени от човека и са изключително сложни. За да минимизират проблема, компаниите за разработка на софтуер включват прегледи на кода в своя жизнен цикъл на разработка на софтуер. Но дори внимателният експертен преглед не може да улови всичко. Ограниченията в реално време и бюджетните ограничения влошават това. Поради това грешките си проправят път към производствените системи. Някои грешки имат малък или никакъв ефект, но други могат да въведат неприятни уязвимости в сигурността.

Уязвимостта на сигурността е клас грешки, които засягат сигурността на системата по някакъв начин. Има широк диапазон от възможни резултати, но в крайна сметка всички уязвимости в сигурността са лоши за всички. За съжаление намирането на грешки може да бъде трудно и отнема много време. Докато разработчиците могат да отделят само ограничено време за тестване за грешки, друга група заедно прекарва много повече време в използването на приложението – потребителите.

Потребителите на система, взети заедно, прекарват много повече време в системата, отколкото разработчиците на тази система някога биха могли. Те също така използват много по-голямо разнообразие от устройства. Комбинирано, това прави перфектната среда за намиране на бъгове - много очи и крайни случаи.

Насочване на потребителите към работа

Традиционният начин за използване на потребителите за разрешаване на грешки е да има някаква функция за докладване на грешки, която позволява на потребителите да съобщават за грешка, която срещат. Разработчиците могат да използват тази информация, за да копират, идентифицират и коригират проблема. Проблемът е, че има минимален стимул за потребителя да докладва за проблеми. Това е процес, който отнема време, има потенциални последици за поверителността и като цяло не води до обратна връзка, дори ако проблемът е отстранен.

Уязвимостите в сигурността са още по-лоши. Злонамерен потребител може да избере да използва уязвимост, която открие активно. В зависимост от проблема може да е възможно да получите достъп до нещо ценно или на черния пазар, или чрез откуп или изнудване. Като алтернатива е възможно да продадете знания за уязвимостта на черния пазар. Така или иначе, потребителите не са стимулирани да докладват грешки и са демотивирани да докладват уязвимости в сигурността.

Обръщане на масите

Системата за награди за грешки е начин да обърнете масата, за да насърчите активното докладване на проблеми със сигурността. Методът е прост, възнаграждава ги. Стандартният метод е да се плати парична премия и да се даде публично признание за приноса. Това директно възнаграждава потребителите за докладване на уязвимост в сигурността и ги насърчава да направят правилното нещо.

Системите за награди за грешки обикновено са отворени за всеки. Всеки потребител, който идентифицира уязвимост в сигурността, може да докладва за това и да получи плащане. Все пак има някои уговорки. За да получите плащане, обикновено трябва да сте първият човек, съобщил за проблем, въпреки че понякога има редки изключения при изключителни обстоятелства. Вие също трябва да спазвате правилата.

Правилата на системата за награди за грешки осигуряват пълна защита от правни действия, ако ги спазвате. Те често са подробни, но сравнително ясни. Не осъществявайте достъп до данните на други хора, не използвайте уязвимостите злонамерено и ги разкривайте лично и отговорно. Възможно е също така да има някои неща, които се считат за забранени.

Какви са наградите?

Реално погледнато, наградите се основават на добра воля. Има и елемент „ако това е причинило нарушение на данните, ще трябва да платим много по-голяма глоба“. Като цяло компанията плаща сравнително ниска сума за нея. Това обаче може да е много за репортера. Някои грешки могат да бъдат платени за по-малко от сто долара. В екстремни случаи обаче някои компании са платили сто хиляди долара за сериозни уязвимости. Разбира се, повечето премии са много по-ниски от това.

Исторически наградите за бъгове са били много по-ниски и понякога по-скоро като просто благодаря. Например изпращане на безплатна тениска или предоставяне на безплатен доживотен абонамент за услугата. Големите технологични компании обаче дадоха тласък на пазара, както и пристигането на платформи за награди за грешки. Платформите за награди за грешки са уебсайтове, които хостват програмите за награди за грешки на много клиенти. Групират всичко на едно място. Това прави много по-лесно за по-малка организация да управлява система за награди за грешки. Един от начините за това е просто стандартизиране на процеса.

Разбира се, наградата в наградата за грешки е много по-малка от тази, която може да бъде постигната чрез продажба на грешката на черния пазар. Концепцията вярва, че като цяло повечето хора искат да правят правилното нещо. Или поне не искат рискът от нарушаване на закона отново да ги преследва.

Заключение

Наградата за грешки е система за плащане на награда за намиране и отговорно разкриване на уязвимост в сигурността. Той активно насърчава потребителите да тестват и подобряват сигурността на продуктите. Той внася много нови погледи в процеса на тестване, всички с минимални разходи за компанията. Разбира се, като някой, който участва в система за награди за грешки, е важно да бъдете внимателни и да разбирате правилата.

Хакването е незаконно; програмата за награди за грешки позволява тестване на някои неща, но обикновено включва ограничения. Ако не спазвате правилата, може да носите наказателна отговорност. Ако следвате правилата, откриете и докладвате за грешка, може да получите добро изплащане и да увеличите сигурността за себе си и за другите потребители.