Bug Bounties

Bug bounty-programmer er strukturerte ordninger der selskaper betaler sikkerhetsforskere for å finne og ansvarlig avsløre sårbarheter. Modellen dukket opp fra Netscape i 1995, men ble mainstream rundt 2010-2013 da Facebook, Google og Microsoft lanserte store programmer. Drives nå enten direkte eller gjennom plattformer som HackerOne, Bugcrowd, Intigriti og Synack.

Hvordan fungerer en bug bounty-engasjement

1. Selskapet publiserer en policy: hvilke systemer er innenfor omfanget, hvilke er utenfor omfanget, hvilke gjenkvalifiserer, hvordan kvalifiserer og hvilke typer feiler. mye.
2. Forskere tester systemene innenfor rammen innenfor engasjementsregler (ingen DoS, ingen sosial utvikling av personalet, ingen faktisk utnyttelse av brukerdata).
3. Når de finner en sårbarhet, skriver de en detaljert rapport som inkluderer proof-of-concept og utbedringsforslag.
PLZ ber om sikkerhet, klaring.
4. Hvis gyldig, blir feilen betalt i henhold til alvorlighetsgrad. Kritiske feil får de største utbetalingene; informasjonsfunn får en takk- eller symbolbelønning.
5. Bedriften fikser feilen; forsker og selskap kan til slutt publisere detaljer etter at løsningen er distribuert.

Utbetalingsområder

Typiske 2026-områder:

• Lav alvorlighetsgrad — $10 av informasjon eller 0,00,00,000,- XSS uten kompromittering av kontoen)
• Medium — $1000-5000 (lagret XSS, CSRF på viktige handlinger, IDOR med begrenset dataeksponering)
• High - $5,000-overtakelse, $5,00,S bred IDOR, forespørselsforfalskning på serversiden med intern nettverkstilgang)
• Critical — $25 000-200 000+ (ekstern kjøring av kode, massedataeksponering, rettighetsopptrapping til admin)
• XPLZbou4tyXMexxPLZ4bou43XPLZ4bou43XPLZ43 $250 000+ (nullklikk RCE på flaggskipprodukter fra selskaper som Apple, Microsoft, Google)

Apples sikkerhetsforskningsprogram har utbetalt enkeltbelønninger over $1M for fullkjede iOS-utnyttelser. Googles sårbarhetsbelønningsprogram har betalt millioner kumulativt. Pwn2Own tilbyr $250 000+ for direkte demonstrasjon av visse bedrifter.

De store plattformene

• HackerOne — størst etter programantall. Er vert for programmer for det amerikanske forsvarsdepartementet ("Hack the Pentagon"), GitHub, Goldman Sachs, Shopify og mange flere.
• Bugcrowd — stor konkurrent. Sterk innen finansielle tjenester og myndigheter.
• Intigriti — Europa-fokusert, fremtredende for store EU-bedrifter.
• Synack — forskere kun invitasjoner, førsteklasses kundebase.
XZ7PLZ6XXXLInitiative1 — Buyer Day1 sårbarheter fra forskere, rapporter til leverandører. Driver Pwn2Own.
• Selv-hosted — Apple, Microsoft, Google, Facebook, Amazon, andre kjører sine egne programmer direkte.

The Economics

For bedrifter er bug-billigere enn interne sårbarheter dramatisk sårbare. En utbetaling på 5000 USD for et kritisk funn er mye mindre enn kostnaden for et brudd. Bounties benytter seg også av en global pool av forskere med ulike ferdigheter; et internt team har begrenset ekspertise.

For forskere kan bug-bounties være en karriere. Toppforskerne tjener høye sekssifret eller syv tall årlig. Mange jobber fulltid som uavhengige forskere; andre gjør dusører på toppen av dagjobber.

Konkurransen på tilbudssiden er viktig. Mange bug-premiejegere er dyktige, men konkurrerer om de samme feilene. "Dupliserte" rapporter - når noen andre rapporterer den samme feilen først - tjener ingenting.

Sårbarhetsavsløringsnormer

Bug bounty-programmer opererer under koordinert avsløring: feilen forblir privat til leverandøren har hatt rimelig tid til å fikse den. De fleste programmer tillater offentlig avsløring etter rettelse eller etter 90 dager. Forskere som avslører tidlig uten tillatelse kan miste dusøren og skade omdømmet deres.

Pwn2Own-konkurransen og lignende arrangementer har en annen modell: forskere demonstrerer utnyttelsen live, blir betalt av konferansen, og sårbarheten avsløres til leverandøren på en koordinert tidslinje.Det grå markedet og zero-day meglere

Bug-premier konkurrerer med et parallelt økosystem av sårbarhetsmeglere som kjøper zero-days for offensiv bruk — Zerodium, Crowdfense, NSO Groups forskningsarm, statlige oppkjøp. Disse kjøperne betaler vesentlig mer enn legitime feilpremier – Zerodium har betalt $2-2,5 millioner for iOS-utnyttelser, kontra Apples dusør på rundt $1 millioner for lignende feil.

Den etiske avgjørelsen ligger hos forskeren. Forskere som selger til gråmarkedskjøpere vet at utnyttelsene vil bli brukt mot virkelige mål, noen ganger journalister eller aktivister. Den legitime dusørstien betaler mindre, men sikrer at feilen er rettet.

Vanlige funn av feilpremie

• Authorization bypass / IDOR – tilgang til data som tilhører andre brukere ved å manipulere IDer i API-kall en server for å sende forespørsler til intern infrastruktur
• Lagret XSS — injiserer JavaScript som kjører i andre brukeres nettlesere
• SQL injection — finnes fortsatt, spesielt i eldre apper og APIsAXX5ut svakheter — svake tilbakestillinger av passord, gjenbruk av token, MFA-bypass
• Cloud feilkonfigurasjoner — utsatte S3-bøtter, offentlige Lambda-endepunkter, ubeskyttede Kubernetes APIer
• XXPLXPLZ3 til å utnytte driftsforhold – samtidig utnyttelse av driftsbetingelser checks
• Forretningslogikkfeil — feil i transaksjonsflyter som ikke passer standard sårbarhetskategorier

Hvordan komme inn i bug bounty

• Lær grunnleggende nettleserapplikasjoner, HTTP arkitekturer
• Øv på tilsiktet sårbare plattformer — Hack The Box, TryHackMe, PortSwigger Web Security Academy
• Les offentlige rapporter — HackerOne og Bugcrowd publiserer avslørte rapporter som en læringsressurs
• Start velkommen nybegynnere
• Fokuser på en spesifikk feilklasse til du blir god på det
• Tålmodighet – de første månedene kan gi få eller ingen gyldige funn

Barrieren for inngang er lav (gratis plattformer, gratis læringsressurser), men tidsinvesteringen for å være effektiv. Fellesskapet er støttende; konkurransen er ekte.