باگ بانتی (Bug bounty) که به آن برنامه پاداش آسیب‌پذیری (VRP) نیز گفته می‌شود، نوعی برنامه برون سپاری جمعی است که افراد در ازای دریافت پاداش به جستجو و گزارش باگ‌های یک نرم‌افزار (ایرادات نرم‌افزاری) می‌پردازند.
برنامه‌های باگ بانتی اغلب به عنوان جزئی از استراتژی‌های مدیریت آسیب‌پذیری در تست نفوذ و مکمل تست امنیت کد‌ها استفاده می‌شوند.
در واقع این موضوع، امری رایج است و بسياری از توليدكنندگان نرم افزار و وب‌سايت‌ها، باگ بانتی را اجرا مي‌كنند.
عناوین مطلب:
با این حال، گزارش‌های ارسالی بايد حاوی اطلاعات كافی و مستند جهت استفاده در باز توليد ایراد فنی توسط سازمان ارائه دهنده جوايز باشد. معمولا مبلغ جوايز متناسب با میزان بزرگی شرکت، سطح سختی و تاثير باگ متغیر است.
باگ بانتی در کریپتو
باگ بانتی‌ها، به این امید ارائه می‌شوند که آسیب‌پذیری امنیتی قبل از اینکه توسط هكرها مورد سوء استفاده قرار گیرد، شناسایی و به توليدكننده نرم‌افزار یا وبسایت گزارش گردد.
در کریپتو، باگ بانتی‌ها اغلب توسط کسب و کارهای ارز دیجیتال مانند پروتکل‌ها، صرافی‌ها و کیف پول ارائه می‌شوند.
در واقع باگ بانتی‌ها را می‌توان یکی از رقابت‌های سفت و سخت بين هكرهای كلاه سفيد در نظر گرفت. برنامه‌های باگ بانتی به صورت عمومی اعلام می‌شوند و در آن شرکتی که ارائه دهنده باگ بانتی است می‌تواند هر باگ شناسایی شده را قبل از اینکه برای هكرهای ديگر شناخته شود، اصلاح نمايد.
بیشتر بخوانید: همه چیز درباره حمله هکری دائو (DAO Attack)
در بیشتر موارد، پاداش‌ها بر اساس نوع باگ شناسایی شده ارزش گذاری می شود. طبق گزارش HackerOne، تقریباً 900.000 دلار پاداش برای باگ‌های شناسایی شده تنها در سال 2018 پرداخت گرديده است.
اكثرا ارزش جوايز اهدا شده به متخصصان، كم بوده که به ميزان کوچک بودن آسيب‌پذيری باگ شناسايی شده باز می‌گردد، معمولا شركت‌ها برای باگ‌های كم اهميت مبلغ 100 دلار به عنوان پاداش پرداخت می‌نمايند. با این حال، باگ‌های حیاتی با آسيب‌پذيری بالا گاهی اوقات می‌توانند جایزه‌های 10.000 دلاری یا بیشتر را به خود اختصاص دهند.
برخی از هکرها مبالغ قابل توجهی برای شناسایی باگ‌ها دريافت می‌کنند. Guido Vranken، محقق هلندی، در عرض یک هفته 12 باگ را شناسایی کرد كه به عنوان پاداش، 120.000 دلار از طرف EOS به او پرداخت شد. از دیدگاه مهندسان و تولید‌کنندگان نرم‌افزار، باگ بانتی‌ها می‌توانند مکمل تمهیدات امنیتی باشند که می‌توان برای بخش‌های مختلف پروژه نیز از آن بهره برد.
مهم‌ترین اولویت توسعه دهندگان نرم افزار نوشتن کد‌های امن و به حداقل رساندن باگ‌ها قبل از انتشار محصول است. با این حال، حتی دقیق‌ترین توسعه‌دهندگان نیز در توسعه و ساخت نرم افزار‌ها نیز نمی‌توانند همه باگ‌ها را پیدا کنند كه اين امر ممکن است خطرات امنیتی مختلفی را ایجاد کند.
مثال‌هایی دیگر از باگ بانتی
- شرکت موزيلا، 3.000 دلار برای باگ‌های متناسب با استاندارد های خود پرداخت كرده است.
- فيسبوک تا به حال حدود 20.000 فقط برای یک گزارش باگ بانتی جایزه اهدا کرده است.
- در سال 2012 گوگل برای باگ‌های گزارش شده در مرورگر كروم در مجموع 700.000 دلار پرداخت كرده است.
- مايكروسافت نیز برای باگ امنيتی ويندوز 8.1 مبلغ 100.000 دلار به محقق انگلیسی با نام James Forshaw پرداخت كرده است.
- در سال 2016 شركت اپل برای باگ‌هاي امنيتی سيستم عامل IOS بابت هر خطا حداكثر 200.000 دلار و يا برای اتصال غير قانونی به Icloud از طريق ايجاد پسورد‌های تصادفی تا 50.000 دلار پرداخت كرده است.
در حالی که استفاده از هکرهای قانونی کلاه سفید برای یافتن باگ‌ها می‌تواند بسیار مؤثر باشد، با این حال، برنامه‌های باگ بانتی نیز می‌تواند بحث برانگیز باشد. برای محدود کردن ریسک احتمالی، برخی از سازمان‌ها برنامه‌های باگ بانتی بسته (Closed bug bounty) را ارائه می‌کنند که نیاز به دعوت نامه دارد. برای مثال، اپل مشارکت باگ بانتی را به چند ده محقق تعیین شده محدود کرده است!
مزایای برنامه‌های باگ بانتی
برنامه باگ بانتی به شکل چشمگیری بین سازمان‌ها و شرکت‌های بزرگ فناوری رواج پیدا کرده است.
دلیل این موضوع مزایای فراوان باگ بانتی برای امنیت و روال مدیریت تست‌های ایمنی این سازمان‌ها بوده است.
افزایش احتمال یافتن آسیب
اولین هدف باگ بانتی یافتن آسیب‌پذیری‌های خطرناک در بدنه نرم‌افزار یا وبسایت است. اگر این حفره‌های امنیتی توسط مجرمان سایبری یافت شود، می‌تواند پیامد‌های منفی گسترده‌ای برای سازمان مربوطه به دنبال داشته باشد.
با استفاده از برنامه‌های باگ بانتی، یک سازمان دولتی یا شرکت، شانس بیشتری در یافتن باگ‌های خطرناک را قبل از مورد حمله قرار گرفتن خواهد داشت.
کاهش هزینه
باگ بانتی می‌تواند از چندین راه باعث صرفه‌جویی در هزینه‌های سازمان‌ها شود.
در این حالت، حتی بزرگ‌ترین جایزه‌های باگ بانتی نیز به دلیل جلوگیری از نشت داده‌های حساس توسط مجرمان سایبری، ارزشمند خواهند بود.
مزیت دیگر باگ بانتی این است که سازمان‌ها در صورتی پول را پرداخت خواهند کرد که باگ‌های خطرناک یافت شوند. در برنامه‌های باگ بانتی عمومی، تعداد زیادی متخصص امنیت از سراسر جهان سعی در یافتن باگ‌های یک نرم افزار خواهند کرد. در این حالت، سازمان‌ها از این نیروی متخصص رایگان برای یافتن باگ‌های حساس بهره‌مند می‌شوند.
با این حال پرداخت هزینه به متخصصان امنیت به صورت قراردادی یا استخدام می‌تواند هزینه زیادی در برداشته باشد که حتی در این حالت نیز ممکن است هیچ باگی یافت نشود.
دسترسی به استعداد‌ها
همان‌طور که احتمالا حدس زده‌اید، سازمان‌ها می‌توانند از استعداد و توانایی‌های متخصصان حرفه‌ای امنیت در جهت منافع خود بهره ببرند.
اغلب دسترسی به چنین استعداد‌هایی سخت و یا هزینه‌بر است. گاهی این متخصصان علاقه‌ای به کار پروژه‌ای نشان نمی‌دهند و نمی‌تواند از مهارت‌های آن‌ها در جهت رفع ایرادات امنیتی نرم افزار استفاده کرد.
برنامه‌های باگ بانتی که جایزه بزرگی پیشنهاد دهد، می‌تواند این متخصصان شکارچی باگ را برای کسب اعتبار و جایزه تعیین شده ترغیب کند. استفاده از روش‌های تست ایمنی و یا جستجوی باگ‌های خطرناک می‌تواند زمان‌بر و هزینه سنگینی در بر داشته باشد، اما در باگ بانتی، سازمان‌ها به طیف وسیعی از انواع مهارت‌های ایمنی و امنیتی از سراسر جهان دسترسی دارند.
شبیه‌سازی تهدیدات واقعی
یکی از بزرگ‌ترین چالش‌های تست و رفع ایرادات امنیتی نرم‌افزار‌ها و وبسایت سازمان‌ها را می‌توان در شبیه سازی باگ مورد نظر در شرایط واقعی مثال زد.
سازمان‌ها به دنبال باگ‌هایی هستند که بیشترین خطر امنیتی و ایمنی را به دنبال دارند. با این حال، استفاده از پیمانکاران و متخصصان امنیت به صورت قراردادی نمی‌تواند چنین وضعیتی را شبیه سازی و واقع‌گرایانه نشان دهد.
در یک برنامه باگ بانتی، سازمان‌ها به شکارچیان حفره‌های امنیتی پول می‌دهند تا دقیقا مانند یک مجرم سایبری به وبسایت آن‌ها حمله کنند. این شکارچیان نیز مانند مجرمان سایبری از همان سطح اطلاعات و آگاهی در مورد سازمان مورد نظر برخوردار هستند. ب
نابراین جستجوی حفره‌های امنیتی در باگ بانتی، بیشتر واقع‌گرایانه است تا استخدام یک متخصص و ارائه دسترسی‌های ویژه به او برای اسکن سیستم‌های سازمان.
بیشتر بخوانید: آیا هک بیت‌کوین امکان‌پذیر است؟
بهترين برنامه‌های باگ بانتی موجود در اينترنت
ما در اینجا فهرست برخی از بهترین جایزه‌های باگ بانتی اینترنت را گردآوری کرده‌ایم.:
باگ بانتی گوگل
گوگل در مورد یافتن خطاها در سیستم خود بسیار سخاوتمند است.
در برنامه باگ بانتی گوگل، همه باگ‌ها و خطاهای یوتیوب، جستجوگر گوگل و وب‌سایت‌های گوگل تحت پوشش قرار می‌گیرند.
گوگل به منظور افزایش گستره دامنه خطايابی سيستمی، همه برنامه‌ها و افزونه‌های مرورگر كروم را كه داده‌ها و اطلاعات كاربران را مديريت می‌كنند را تحت پوشش اين برنامه قرار داده است. این شامل دستگاه‌های سخت افزاری مانند Google Home، Nest و OnHub نیز می‌شود.
فیس بوک
این غول رسانه‌های اجتماعی نیز یک باگ بانتی مخصوص دارد که در آن به افرادی که بتوانند حفره‌های امنیتی فیس‌بوک را بیابند، پاداش می‌دهد.
فیس‌بوک به وضوح اشاره می‌کند که فقط آسیب‌پذیری‌های امنیتی واجد شرایط دریافت پاداش هستند و اشکالات نرم‌افزاری مانند کارکرد صحیح وبسایت یا نرم‌افزار‌های این شرکت واجد شرايط دريافت پاداش نیستند.
فیس‌بوک حداقل 500 دلار برای یافتن حفره‌هایی که می‌توانند باعث مشکلات امنیتی یا ایجاد خلل در حریم خصوصی شوند، پرداخت می‌کند، این مبلغ ممکن است بسته به سطح باگ گزارش شده بیشتر باشد.
1Password
1Password یکی از امن‌ترین نرم‌افزار‌های مدیریت رمزعبور در اینترنت است که یک برنامه باگ بانتی نیز ارائه می‌دهد.
از آن‌جایی که سطح پیچیدگی این سرویس زیاد است، 1Password دستورالعمل‌هایی را برای شروع کار و یافتن باگ‌ها تنظیم کرده است.
Avast
Avast، یکی از معروف‌ترین شرکت‌های آنتی ویروس در اینترنت است كه وجود تست‌های ایمنی توسط متخصصان امنیت خارج از شرکت را ضروری می‌داند. از این رو برنامه باگ بانتی خود را راه اندازی کرده است.
بیشتر بخوانید: حمله DDos چیست؟ (انواع حملات DDos Attack و روش‌های مقابله)
اگرچه سایر اشکالات امنیتی که در این لیست عنوان نشده‌اند نیز در اين بخش رده بندی شوند. Avast حداقل 400 دلار برای گزارش چنین اشکالاتی پرداخت می‌کند، اما بسته به شدت باگ شناسایی شده، مقدار آن متغیر است.
برنامه‌های رایگان و متن‌باز
جامعه‌ای از برنامه نویسان وجود دارند که روی نرم‌افزار‌های متن‌باز (Open source) کار می‌کنند.
ممکن است شما برای یافتن باگ و اشکالات امنیتی در این نرم‌افزار‌ها، پاداشی دریافت نکنید اما اعتبار شما در بین جامعه متخصصان امنیت افزایش پیدا می‌کند که در نهایت در این حرفه موثر است.
Apache
بنیاد Apache، که به دلیل مشارکت در ارائه نرم‌افزار رایگان، به‌ویژه وب سرور، بسیار معروف است، برنامه باگ بانتی‌ای را به طور رسمی اجرا نمی‌کند. اما در این شرکت نیز از پیدا کردن اشکالات امنیتی استقبال می‌شود و شما می‌توانید در انجمن‌های آن اعتبار کسب کنید.
CodeIgniter
CodeIgniter یکی از معروف‌ترین فریم‌ورک‌های PHP در وب است که برای توسعه هزاران اپلیکیشن وب مورد استفاده قرار می‌گیرد.
CodeIgniter تمام اشکالات و راه حل‌های آن‌ها را می پذیرد. مسائل امنیتی مانند باگ‌های حساس در مورد وبسایت آن‌ها نیز مورد پذيرش واقع می‌شود، اما در این برنامه هیچ پاداشی وجود ندارد، ولی شما توسط جامعه CodeIgniter به رسمیت شناخته خواهيد شد.
باگ بانتی اینترنت
این مورد از همه جالب تر است! Internet Bug Bounty برای افرادی که آسیب پذیری‌های امنیتی را در نرم‌افزار‌های توسعه هسته که از اینترنت پشتیبانی می‌کند کشف می‌کنند، پاداش و اعتبار در نظر گرفته است.
این مسئله شامل زبان‌های برنامه نویسی مختلف و نرم افزارهای سمت سرور مانند سرورهای پایتون، Apache و Nginx، Perl، Php، Jango و غیره می‌شود. این برنامه‌ها توسط گروه HackerOne ارزیابی می‌شود که شرکت‌هایی مانند فیس بوک، Github و مایکروسافت آن را پشتیبانی می‌کنند.
نتیجه گیری
به طور کلی باگ بانتی (bug bounty) یکی از روش‌های معتبر در زمینه کشف و رفع ایرادات امنیتی نرم‌افزار‌های بزرگ به شمار می‌رود.
در نرم‌افزار‌های بزرگ به دلیل پیچیدگی و حجم پروژه، مدیریت و کشف همه باگ‌های موجود توسط توسعه‌دهندگان و حتی تیم تست غیرممکن به نظر می‌رسد.
یکی از روش‌های کسب درآمد متخصصین امنیت، شرکت در برنامه‌های باگ بانتی است. کسب درآمد توسط باگ بانتی می‌تواند برای بسیاری از هکرهای کلاه سفید به سرگرمی تبدیل شود.
شما در بورس، علاوه بر خرید و فروش سهام:
- می‌توانید در دارایی‌هایی مانند طلا و مسکن سرمایه‌گذاری کنید
- در صندوق‌های سرمایه گذاری بدون ریسک، سود ثابت بگیرید
برای شروع سرمایه‌گذاری، افتتاح حساب رایگان را در یکی از کارگزاری‌ها انجام دهید:
برای سرمایه‌گذاری و معامله موفق، نیاز به آموزش دارید. خدمات آموزشی زیر از طریق کارگزاری آگاه ارائه می‌شود: