Bug Bounty

Bir bug bounty programında kuruluş, herkesi ya da davet ettiği bir grup güvenlik araştırmacısını web sitelerinde, uygulamalarında veya ürünlerinde güvenlik açığı aramaya çağıran kurallar yayımlar ve daha önce bildirilmemiş her geçerli rapor için bir ödül (bounty) öder. Ödüller ciddiyetle birlikte artar; küçük sorunlar için küçük tutarlardan büyük platformlardaki kritik açıklar için çok yüksek meblağlara kadar çıkar. İlk programlardan birini 1995'te Netscape yürüttü; bugün Google, Microsoft ve Apple gibi şirketler ile birçok devlet, çoğu zaman HackerOne, Bugcrowd ve Intigriti gibi platformlar üzerinden bu programları yürütüyor.

Programın politikası kapsamı, yani hangi alan adlarının ve uygulamaların test edilebileceğini tanımlar; hizmet engelleme (denial-of-service) saldırıları, sosyal mühendislik ya da açığı kanıtlamak için gerekenin ötesinde başka kullanıcıların verilerini okumak gibi zararlı teknikleri yasaklar. Ayrıca nasıl rapor verileceğini açıklar ve kurallara uyan araştırmacılara karşı yasal işlem yapılmayacağını taahhüt eden bir güvenli liman (safe harbor) maddesi içerir. Güvenlik ekibi ardından her raporu ön değerlendirmeden geçirir: sorunu yeniden üretir, ciddiyetini çoğu zaman CVSS puanlama sistemiyle derecelendirir, düzeltir ve ödülü genellikle yalnızca o açığı ilk bildiren kişiye öder.

Bu, kasasındaki zayıf bir noktayı bulup kasayı soymak yerine bankaya haber veren herkese ödül veren bir bankaya benzer. Ödeme olmadan aynı fikre güvenlik açığı bildirim politikası (vulnerability disclosure policy, VDP) denir: güvenli şekilde nasıl bildirim yapılacağına dair herkese açık bir taahhüttür ve çoğu zaman RFC 9116'da tanımlanan bir security.txt dosyasıyla duyurulur. Birçok kuruluş bir VDP ile başlar ve raporların hacmini kaldırabilecek duruma geldiğinde ödülleri ekler.

Bug bounty sıklıkla sızma testiyle (penetration testing) karıştırılır. Sızma testi, seçilen bir ekiple belirli bir kapsam ve süre için yapılan, emeğin karşılığının ödendiği ve az şey bulunsa bile eksiksiz bir rapor alınan bir sözleşmedir; bug bounty ise açık uçlu ve süreklidir, farklı becerilere sahip birçok test uzmanından yararlanır ve yalnızca geçerli bulgular için ödeme yapar. Ödüller ayrıca yinelenen ya da düşük kaliteli rapor yağmuru getirebilir ve hiçbir şeyin kapsamlı biçimde test edildiğini garanti etmez; bu yüzden kuruluşlar güvenli geliştirmenin yanında ikisini birlikte kullanır.