Ultima modifica:
In questo articolo approfondiremo cosa sono i Bug Bounty Program, come si partecipi ad essi, quale sia il loro funzionamento e quali le ricompense offerte.
Bug Bounty: quando l'hacking contro grandi aziende diventa legale
Tempo di lettura stimato: 3 min
1 Che cos'è un programma Bug Bounty
Un programma bug bounty è un accordo offerto da numerose aziende, siti web e sviluppatori per cui viene concessa la possibilità a chiunque di ricercare bug, vulnerabilità e falle di sicurezza nei prodotti/servizi proposti, in cambio di un riconoscimento (spesso monetario) da parte dei possessori di tali servizi. In altre parole, un bug bounty program è un'attività per cui è consentito hackerare eticamente (cioè senza recare danni, rubare informazioni o diffondere anzitempo i propri ritrovamenti) compagnie, siti web e apparati informatici in cambio di ricompense.
Questi programmi permettono agli sviluppatori/amministratori di sistema di scoprire e risolvere i bug prima che il grande pubblico ne venga a conoscenza, evitando incidenti di sicurezza causati da uno sfruttamento diffuso del bug. Ad oggi questi programmi sono molto diffusi, soprattutto tra le grandi aziende: tra i big che hanno aderito a queste iniziative troviamo Google, Facebook, Mozilla e tanti altri.
Questi programmi permettono agli sviluppatori/amministratori di sistema di scoprire e risolvere i bug prima che il grande pubblico ne venga a conoscenza, evitando incidenti di sicurezza causati da uno sfruttamento diffuso del bug. Ad oggi questi programmi sono molto diffusi, soprattutto tra le grandi aziende: tra i big che hanno aderito a queste iniziative troviamo Google, Facebook, Mozilla e tanti altri.
2 Dove trovo i programmi attualmente attivi
Uno dei siti più famosi e utilizzati è indubbiamente Bugcrowd. A questo portale si appoggiano numerose aziende, sia di piccole che grandi dimensioni, ed è sicuramente uno dei portali da cui partire per le proprie ricerche!
Un secondo sito molto rinomato è HackerOne. Come per Bugcrowd, anche HackerOne è uno dei migliori punti di riferimento per quanto riguarda le attività di bug hunting, permettendo di trovare numerose opportunità ma al contempo altrettanti rivali da battere sul tempo!
Un secondo sito molto rinomato è HackerOne. Come per Bugcrowd, anche HackerOne è uno dei migliori punti di riferimento per quanto riguarda le attività di bug hunting, permettendo di trovare numerose opportunità ma al contempo altrettanti rivali da battere sul tempo!
Intigriti è una piattaforma di bug bounty divenuta molto popolare negli ultimi anni nonché punto di riferimento per il mercato europeo. Al momento hanno più di 400 programmi attivi, un payout totale di circa € 9 mln e più di 70k di ricercatori iscritti. Oltre a questo, Intigriti è anche molto attiva sui social e ha una community molto vasta e interattiva, con challenge rilasciate in base settimanale, eventi e tanto altro.
Altre piattaforme degne di nota e attualmente attive sono
3 Chi può partecipare
In genere i Bug Bounty sono aperti a tutti, l'unico requisito è quello di essere iscritti alla piattaforma dedicata (che può essere Bugcrowd così come HackerOne, ecc.). Nient'altro. Esistono anche programmi ristretti ai quali si può partecipare solamente tramite invito, ma tutto il resto è a disposizione del grande pubblico. Ovviamente però per venir premiati non serve solo partecipare, servono skills e velocità! Una vulnerabilità è lì per tutti, ma solo il primo che la trova riceverà il grande premio!
4 Le ricompense
I premi variano da azienda ad azienda e da vulnerabilità a vulnerabilità, ma in linea di massima si passa da poche centinaia di dollari a molte migliaia, come nel caso del ricercatore indipendente che trovò una vulnerabilità di account takeover su Microsoft:
Bug Bounter premiato da Microsoft con 50.000 dollari per una vulnerabilità 'account takeover'
Bug Bounter premiato da Microsoft con 50.000 dollari per una vulnerabilità 'account takeover' Articolo tratto da SecurityAffairs Microsoft ha premiato il ricercatore di sicurezza Laxman Muthiyah con 50.000 dollari per aver segnalato una vulnerabilità che avrebbe potuto permettere a chiunque...
www.inforge.net
Per quanto le ricompense siano molto succose, bisogna sempre tenere in considerazione che si tratta di una gara contro altri ricercatori e talvolta addirittura altre aziende (sì, ci sono aziende che fanno solamente - o in parte - bug hunting).
Si può pensare che questa attività basti come unico lavoro primario? O è necessariamente un lavoro secondario?
Possono esserci mesi in cui la caccia va bene e si totalizzano somme di denaro superiori a uno stipendio medio, ma è possibile mantenere un alto livello per numerosi periodi di tempo? Probabilmente sì, c'è gente che campa solo di Bug Bounty, ma non penso che sia una dote alla portata di tutti!
Si può pensare che questa attività basti come unico lavoro primario? O è necessariamente un lavoro secondario?
Possono esserci mesi in cui la caccia va bene e si totalizzano somme di denaro superiori a uno stipendio medio, ma è possibile mantenere un alto livello per numerosi periodi di tempo? Probabilmente sì, c'è gente che campa solo di Bug Bounty, ma non penso che sia una dote alla portata di tutti!
Voi cosa ne pensate? Avete mai provato a fare bug bounty? Vorreste provare?
Fatemelo sapere nei commenti!
Ah, giusto... buona caccia!
Made with ❤ for Inforge