Pēdējo desmit gadu laikā hakeru darbība pakāpeniski kļuva par cienījamu un potenciāli izdevīgu karjeru, pateicoties kļūdu labumu ieviešanai.
Kaut arī dažas organizācijas, piemēram, Mozilla, 2004. gadā uzsāka kļūdu atdevi, nozīmīgs stimuls nozarei bija tad, kad Google un Facebook 2010. un 2011. gadā ieviesa līdzīgas programmas. Drīz pēc tam, 2011. un 2012. gadā, tādas platformas kā Bugcrowd un HackerOne komercializēja kļūdu bagātības, lai citiem uzņēmumiem būtu vieglāk tās izveidot..
Bug bounty maksā neatkarīgiem pētniekiem, kuri atrod un ziņo par ievainojamībām, kurām varētu būt drošības ietekme uz sistēmu vai tās lietotājiem. Viena no izplatītākajām ievainojamībām ir tā sauktais starpvietņu skriptu (XSS) uzbrukums, kas lietotāja pārlūkprogrammā injicē ļaunprātīgu JavaScript kodu..
Sakarā ar to, kā JavaScript šodien izplatās tīmeklī, šo uzbrukumu var izmantot, lai būtībā nolaupītu upura kontu, un Google maksās līdz 7500 USD par šajā kategorijā no kļūdām.
Kāpēc bug bounties ir noderīgi?
Drošības revīzijas un kodu pārskatīšana ir ierobežota gan laikā, gan to acu skaitā, kas nodrošina rūpīgu pārbaudi. Lai gan tie ir noderīgi, lai pirms programmatūras izlaišanas sabiedrībai noplūktu zemāk piekārtos augļus, dažas no visnopietnākajām kļūdām var rasties daudzu smalku dizaina kļūdu sastāvā.
Neatkarīgs pētnieks kā nesenu piemēru atrada lielu kļūdu ProgPoW algoritmā, neskatoties uz vairākām iepriekšējām revīzijām.
Nesenie decentralizēto finanšu jeb DeFi uzlaušanas gadījumi parāda šo sistēmu sarežģītību. Pirmajā bZX uzlaušanā izmantošanas kodols bija smaga nespēja pārbaudīt pareizu nodrošinājumu bZX viedajos līgumos, taču ātrie aizdevumi un citas platformas nodrošināja nepieciešamos rīkus, lai iegūtu naudu, izmantojot šo kļūdu.
Google programma viegli parāda, ka droša koda atbrīvošana no sākuma ir gandrīz neiespējama. Tās ievainojamības atlīdzības programma izlikts bezprecedenta iemaksu rekords – 6 miljoni ASV dolāru 2019. gadā – deviņus gadus pēc darbības uzsākšanas. Šajā periodā uzņēmumam bija visi instrumenti, lai pilnveidotu iekšējās drošības praksi, taču tā sistēmu sarežģītība, šķiet, padarīja to visu, bet neiespējamu..
Kļūdu veltes kriptogrāfijā
Daudzi kriptogrāfijas uzņēmumi un projekti piedāvās dāsnu atlīdzību par kritiskām kļūdām. DeFi projektu Maker, Compound un Aave maksimums ir attiecīgi 100 000, 150 000 un 250 000 USD.
Lielas biržas, piemēram, Kraken, Coinbase un Binance, nodrošina arī kļūdu atalgojuma programmas. Krakenam nav izteikta maksimuma, savukārt Coinbase un Binance top ir attiecīgi 50 000 un 10 000 ASV dolāru. Ne visās galvenajās apmaiņās tika uzsāktas šādas programmas, īpaši Huobi un Bitstamp.
Ir vērts atzīmēt, ka reklamētā maksimālā izmaksa ne vienmēr padara programmu pievilcīgāku, jo samaksātās summas gandrīz vienmēr ir uzņēmuma ziņā.
No 458 ziņojumiem iesniegts uz Coinbase maksimālā izmaksa bija tikai 20 000 USD, savukārt vidējā ir tikai 200 USD. Tas, iespējams, ir saistīts ar zemu kļūdu smagumu, taču šī statistika ir svarīgs signāls pētniekiem, kuriem jāizlemj platforma, kurai koncentrēties. Dažus no augstākajiem vidējiem Hacker One maksājumiem var iegūt no Monolith, Tron (TRX) un Matic, lai gan pēdējie tikko uzsāka savu kļūdu atlīdzības programmu.
Vai bug bounties var ietaupīt projektus?
Kripto infrastruktūra ir ideāls mērķis hakeriem, ņemot vērā tās skaidras naudas īpašības, jo digitālās naudas zagšana no bankas ir daudz grūtāk.
Datorurķēšanas “veiksmes” stāsti, piemēram, Coincheck, kur 500 miljonu dolāru vērto uzlaušanas rīkotāji netika notverti pēc vairāk nekā diviem gadiem, var piesaistīt “melnu cepuri” vai pilnīgi ļaunprātīgus hakerus vairāk nekā citās nozarēs.
Saskaņā ar apmaiņas drošības rangu publicēts autors Hakens 2019. gadā, 82% no visām apmaiņām vispār nav nevienas kļūdu atalgojuma programmas. No tiem, kas to dara un kas ir augsti novērtēti tā sarakstā, tikai Binance cieta lielu uzbrukumu 2019. gadā.
Interesanti, ka gan bZX, gan dForce pirms viņu incidentiem bija izveidotas kļūdu atalgojuma programmas, taču viņiem bija ievērojamas atrunas.
bZX’s programmu Maksimālais maksājums bija tikai 5000 ASV dolāru, un pētniekiem pirms atlīdzības savākšanas ļoti svarīgi bija iesniegt identitātes apliecinājumu. Šķiet arī, ka tas tika publicēts tikai vidēja līmeņa ziņojumā. Pēc incidenta projekts izlabots visi iepriekšminētie jautājumi.
DForce’s programmu tāpat bija jāiesniedz dokumenti, un, lai gan tā maksimālā izmaksa bija ievērojama – 50 000 ASV dolāru, tā aptvēra tikai USDx stablecoin sistēmu, nevis Lendf.me platformu, kas galu galā tika uzlauzta.
Lai gan uzņēmumiem ir pienākums ieturēt maksājumus pētniekiem, kuri dzīvo sankciju reģionos, ļoti maz veiksmīgu programmu prasa pilnīgu identitātes pārbaudi, lai saņemtu naudu. No kļūdu mednieka viedokļa personu apliecinošu dokumentu iesniegšana bieži var kļūt par Damokla zobenu tiesiskas represijas pret pilnīgi likumīgiem hakeriem – tādējādi atturot viņus no pieteikšanās.
Ņemot vērā visu iepriekš minēto, šķiet, ka pastāv ievērojama korelācija starp godīgas bug bounty programmas esamību un katastrofālu uzlaušanas gadījumu skaitu.
Neskatoties uz to, sarunā ar Cointelegraph Egors Homakovs, cienījams drošības pētnieks, brīdināja par projektu “apkaunošanu”:
“Bounties nevajadzētu piespiest nevienam projektam, un interesei vajadzētu būt no iekšpuses. Katram projektam pēc noklusējuma jau ir pievienota prēmiju programma, tikai prēmijas ir vienādas ar $ 0. Es nedomāju, ka cilvēkiem vajadzētu kaunināt programmas par lielākām summām. Šis tirgus lieliski pašregulējas, un tam vairs nav vajadzīgas pētniecības dusmas / prasības. ”
Spriežot pēc dažu uzlauzto uzņēmumu reakcijām uz incidentiem, jau var notikt dabiska atlase uz labāku kļūdu piemaksu.