Bug bounty

Čo to znamená

Bug bounty je program, v ktorom firma odmeňuje nezávislých bezpečnostných výskumníkov za nájdenie a nahlásenie zraniteľností vo svojich webových stránkach, aplikáciách či systémoch. Pravidlá vopred určujú, čo sa smie testovať, ako hlásiť a aké sú odmeny.

Program dopĺňa penetračné testovanie: test robí jeden dodávateľ v obmedzenom čase, bug bounty otvára systém mnohým hackerom priebežne. Platí sa len za skutočne nájdené a overené chyby.

Programy sa spúšťajú cez špecializované platformy alebo priamo firmou. Jednoduchšou formou je politika zodpovedného zverejňovania, ktorá síce odmeny neponúka, ale dáva výskumníkom legálnu cestu a sľub, že nebudú žalovaní.

Ako to funguje v praxi

Pre malé firmy je plný bug bounty program väčšinou zbytočne drahý a náročný na spracovanie hlásení. Postačí stránka s kontaktom na hlásenie zraniteľností a súbor security.txt na webe, aby výskumník vedel, komu napísať.

Každé hlásenie treba overiť, vyhodnotiť závažnosť, opraviť a výskumníka informovať. Závažné chyby sa riešia v rámci reakcie na incident a pri známych softvéroch môžu dostať označenie CVE.

Odmeny vyplácané výskumníkom sú pre firmu daňovým výdavkom. Pri zahraničných výskumníkoch treba posúdiť, či ide o službu prijatú zo zahraničia a či vzniká povinnosť zrážkovej dane.

Na čo si dať pozor

Bez jasných pravidiel môže výskumník pri testovaní narušiť prevádzku alebo pristúpiť k osobným údajom. Program musí určiť zakázané techniky, napríklad DDoS, a zakázať prístup k údajom zákazníkov nad nevyhnutnú mieru.

Ignorované hlásenie je riziko: výskumník môže chybu po čase zverejniť a útočníci ju zneužijú ako zero-day. Aj firma bez programu by mala mať postup, ako na hlásenia odpovedať.