Kas ir Bug Bounty?

Tā kā programmatūra ir sarežģīta, ir grūti nodrošināt, lai tajā nebūtu kļūdu. Tas vienkārši ir cilvēka radītas un ļoti sarežģītas lietas. Lai mazinātu problēmu, programmatūras izstrādes uzņēmumi savā programmatūras izstrādes dzīves ciklā iekļauj kodu pārskatus. Bet pat rūpīgs ekspertu pārskats nevar aptvert visu. Ļoti reāllaika un budžeta ierobežojumi to pastiprina. Šī iemesla dēļ kļūdas nonāk ražošanas sistēmās. Dažām kļūdām ir maza ietekme vai nav nekādas ietekmes, bet citas var radīt nepatīkamas drošības ievainojamības.

Drošības ievainojamība ir kļūdu klase, kas kaut kādā veidā ietekmē sistēmas drošību. Ir plašs iespējamo rezultātu klāsts, taču galu galā visas drošības ievainojamības ir sliktas ikvienam. Diemžēl kļūdu atrašana var būt sarežģīta un laikietilpīga. Lai gan izstrādātāji var pavadīt tikai ierobežotu laiku, lai pārbaudītu kļūdas, cita grupa kopā pavada daudz vairāk laika, izmantojot lietojumprogrammu — lietotāji.

Sistēmas lietotāji kopā ar sistēmu pavada daudz vairāk laika, nekā šīs sistēmas izstrādātāji jebkad varētu. Viņi izmanto arī daudz plašāku ierīču klāstu. Tas kopā veido ideālu vidi kļūdu atrašanai — daudzas acis un malas.

Lietotāju likšana darbā

Tradicionālais veids, kā izmantot lietotājus kļūdu novēršanai, ir izmantot kādu kļūdu ziņošanas funkciju, kas ļauj lietotājiem ziņot par kļūdu, ar kuru viņi saskaras. Izstrādātāji var izmantot šo informāciju, lai atkārtotu, identificētu un novērstu problēmu. Problēma ir tāda, ka lietotājam ir minimāls stimuls ziņot par problēmām. Tas ir process, kas prasa laiku, var ietekmēt privātumu un parasti nesniedz nekādas atsauksmes, pat ja problēma ir novērsta.

Drošības ievainojamības ir vēl sliktākas. Ļaunprātīgs lietotājs var aktīvi izmantot atrasto ievainojamību. Atkarībā no problēmas var būt iespējams piekļūt kaut kam vērtīgam vai nu melnajā tirgū, vai ar izpirkuma maksu vai šantāžu. Alternatīvi, ir iespējams pārdot zināšanas par ievainojamību melnajā tirgū. Jebkurā gadījumā lietotāji netiek mudināti ziņot par kļūdām un netiek mudināti ziņot par drošības ievainojamībām.

Galdu pagriešana

Kļūdu atlīdzības sistēma ir veids, kā pārvērst tabulas, lai mudinātu aktīvi ziņot par drošības problēmām. Metode ir vienkārša, viņus atalgojot. Standarta metode ir maksāt naudas atlīdzību un sniegt publisku apstiprinājumu par ieguldījumu. Tas tieši atlīdzina lietotājus par ziņošanu par drošības ievainojamību un mudina viņus rīkoties pareizi.

Kļūdu atlīdzības sistēmas parasti ir pieejamas ikvienam. Jebkurš lietotājs, kurš identificē drošības ievainojamību, var par to ziņot un saņemt samaksu. Tomēr ir daži brīdinājumi. Lai saņemtu samaksu, jums parasti ir jābūt pirmajai personai, kas ziņo par problēmu, lai gan dažkārt ir reti izņēmumi ārkārtas apstākļos. Jums arī jāievēro noteikumi.

Kļūdu atlīdzības sistēmas noteikumi nodrošina vispārēju aizsardzību pret tiesiskām darbībām, ja jūs tos ievērojat. Tie bieži ir detalizēti, bet salīdzinoši vienkārši. Nepiekļūstiet citu cilvēku datiem, neizmantojiet ievainojamības ļaunprātīgi un izpaudiet tās privāti un atbildīgi. Var būt arī dažas lietas, kas tiek uzskatītas par aizliegtām.

Kādas ir balvas?

Reāli, atlīdzības pamatā ir laba griba. Ir arī elements “ja tas izraisīja datu pārkāpumu, mums būtu jāmaksā daudz lielāka soda nauda”. Parasti uzņēmums par to maksā salīdzinoši zemu summu. Tomēr reportierim tas var būt diezgan daudz. Par dažām kļūdām var maksāt mazāk nekā simts dolāru. Tomēr ārkārtējos gadījumos daži uzņēmumi ir samaksājuši simts tūkstošus dolāru par nopietnām ievainojamībām. Protams, lielākā daļa prēmiju ir daudz zemākas par to.

Vēsturiski kļūdu atlīdzības ir bijušas daudz zemākas un dažreiz vairāk ir vienkārša pateicība. Piemēram, nosūtot bezmaksas t-kreklu vai nodrošinot bezmaksas pakalpojuma mūža abonementu. Tomēr lielie tehnoloģiju uzņēmumi ir veicinājuši tirgu, kā arī kļūdu novēršanas platformu ienākšana. Kļūdu atlīdzības platformas ir vietnes, kurās tiek mitinātas daudzu klientu kļūdu novēršanas programmas. Viņi visu sagrupē vienā vietā. Tādējādi mazākai organizācijai ir daudz vieglāk palaist kļūdu atlīdzības sistēmu. Viens no veidiem, kā tas tiek darīts, ir vienkārši procesa standartizēšana.

Protams, atlīdzība par kļūdu atlīdzību ir daudz mazāka, nekā to varētu iegūt, pārdodot kļūdu melnajā tirgū. Koncepcija uzticas tam, ka parasti lielākā daļa cilvēku vēlas rīkoties pareizi. Vai vismaz viņi nevēlas, lai likuma pārkāpšanas risks viņus vajātu.

Secinājums

Kļūdu atlīdzība ir sistēma, kurā tiek maksāta atlīdzība par drošības ievainojamības atrašanu un atbildīgu atklāšanu. Tas aktīvi mudina lietotājus pārbaudīt un uzlabot produktu drošību. Tas testēšanas procesā ienes daudz jaunu skatījumu, un tas viss uzņēmumam par minimālām izmaksām. Protams, kā kādam, kas piedalās kļūdu atlīdzības sistēmā, ir svarīgi būt uzmanīgiem un izprast noteikumus.

Datorurķēšana ir nelikumīga; kļūdu novēršanas programma ļauj pārbaudīt dažas lietas, bet parasti ietver ierobežojumus. Ja neievērosiet noteikumus, jums var draudēt kriminālatbildība. Ja ievērosit noteikumus, atradīsit kļūdu un ziņosit par to, iespējams, saņemsiet labu izmaksu un palielināsiet drošību sev un citiem lietotājiem.