Bag baunti program

С Википедије, слободне енциклопедије

Bag baunti program (Bug bounty program) - BBP ili Program za nagrađivanje pronalazača bezbednosnih propusta u aplikacijama, je posao koji nude mnogi veb sajtovi, organizacije i oni koji razvijaju softver, a omogućuje priznanja i nagrade [1][2] za izveštavanje o otkrivenim greškama, posebno onim koje se odnose na sigurnosne propuste i ranjivosti softvera.

Ovi programi omogućavaju programerima da otkriju, otklone greške pre nego što za njih sazna šira javnost i na taj način spreče zloupotrebu. BBP je primenio veliki broj organizacija, između ostalih: Mozila [3], Fejsbuk [4], Jahu [5], Gugl [6], Redit [7], Skver [8], Majkrosoft [9].

Kompanije izvan tehnološke industrije, uključujući tradicionalno konzervativne organizacije poput Ministarstva odbrane Sjedinjenih Američkih Država, takođe su počele da koriste BBP [10]. Primena takvih programa u Pentagonu deo je promene zbog koje je nekoliko američkih vladinih agencija preokrenulo pristup, od pretnji etičkim hakerima (white hat hakers) pravnim putem, do poziva da učestvuju kao deo sveobuhvatne politike otkrivanja ranjivosti [11].

Istorija[уреди | уреди извор]

Hanter i Redi pokrenuli su prvi poznati BBP 1983. godine za svoj operativni sistem (Versatile Real-Time Executive operating system). Svako ko je pronašao i prijavio grešku, zauzvrat je  dobio Folksvagenovu bubu (zvanu bag) [12].

Nešto više od decenije kasnije, 1995. godine, Džeret Radlinghafer, inženjer tehničke podrške u kompaniji Netskejp, skovao je frazu „Bags baunti" (Bugs Bounty). On je prepoznao da Netskejp ima mnogo entuzijasta, od kojih neki mogu čak da se smatraju fanatičnim u pogledu Netskejp-ovih pregledača. Radilo se o softverskim inženjerima, koji su sami otklanjali greške u proizvodu i objavljivali ispravke ili zaobilazna rešenja, bilo na mrežnim forumima koje je pokrenula Netskejpova tehnička podrška ili na nezvaničnoj veb lokaciji za najčešća pitanja Netskejpu, na kojoj su objavljivane sve poznate greške i funkcije pregledača, kao i uputstva u vezi sa zaobilaznim rešenjima i ispravkama.

Radlinghafer je smatrao da bi kompanija trebalo da iskoristi ove resurse i predložio je „Netskejp bags baunti program" (Netscape Bugs Bounty Program), koji je predstavio na sastanku izvršnog tima kompanije. Svi prisutni na tom sastanku su prihvatili ideju, osim potpredsednika inženjeringa, koji nije želeo da da podršku, verujući da je to gubljenje vremena i resursa. Međutim, on je nadglasan, a Radlinghafer je dobio početni budžet od 50 hiljada dolara da započne realizaciju.

10. oktobra 1995. godine Netskejp je pokrenuo prvu tehnologiju BBP za pretraživač Netskejp navigator 2.0 Beta. [13][14]

Ko prijavljuje najviše bezbednosnih propusta[уреди | уреди извор]

Iako prijave za otktivene bezbednosne propuste dolaze iz mnogih zemalja, Sjedinjene Američke Države i Indija su glavne zemlje iz kojih se prijavljuju greške [15]. Indija, koja ima ili prvi ili drugi najveći broj lovaca na greške na svetu, u zavisnosti od toga koji izveštaj se citira [16], na vrhu je Fejsbuk bag baunti programa (sa najvećim brojem priznatih  grešaka) [17]. „Indija je izašla na prvo mesto po broju validnih prijava u 2017. godini, a Sjedinjene Američke Države i Trinidad i Tobago su na drugom, odnosno trećem mestu.“, citirao je Fejsbuk u postu [17].

Reference[уреди | уреди извор]

  1. ^ „Hacker powered security report, 2017.” (PDF). 
  2. ^ Ding, Aaron Yi; De Jesus, Gianluca Limon; Janssen, Marijn (2019). "Ethical hacking for boosting IoT vulnerability management: a first look into bug bounty programs and responsible disclosure". Proceedings of the Eighth International Conference on Telecommunications and Remote Sensing - ICTRS '19. Rhodes, Greece: ACM Press: 49–55. . doi:10.1145/3357767.3357774.  Недостаје или је празан параметар |title= (помоћ). ISBN 978-1-4503-7669-3.
  3. ^ "Mozilla Security Bug Bounty Program". Mozilla. Retrieved 2017-07-09
  4. ^ Facebook Security (26 April 2014). "Facebook WhiteHat". Facebook. Retrieved 11 March 2014.
  5. ^ "Yahoo! Bug Bounty Program". HackerOne. Retrieved 11 March 2014.
  6. ^ "Vulnerability Assessment Reward Program". Retrieved 11 March 2014.
  7. ^ "Reddit - whitehat". Reddit. Retrieved 30 May 2015.
  8. ^ "Square bug bounty program". HackerOne. Retrieved 6 Aug 2014.
  9. ^ "Microsoft Bounty Programs". Microsoft Bounty Programs. Security TechCenter. Archived from the original on 2013-11-21. Retrieved 2016-09-02.
  10. ^ "The Pentagon Opened up to Hackers - And Fixed Thousands of Bugs". Wired. 10 November 2017. Retrieved 25 May 2018.
  11. ^ "A Framework for a Vulnerability Disclosure Program for Online Systems". Cybersecurity Unit, Computer Crime & Intellectual Property Section Criminal Division U.S. Department of Justice. July 2017. Retrieved 25 May 2018.
  12. ^ "The first "bug" bounty program". Twitter. 8 July 2017. Retrieved 5 June 2018.
  13. ^ "Netscape announces Netscape Bugs Bounty with release of netscape navigator 2.0". Internet Archive. Archived from the original on May 1, 1997. Retrieved 21 Jan 2015.
  14. ^ "Cobalt Application Security Platform". Cobalt. Retrieved 2016-07-30.
  15. ^ "The 2019 Hacker Report" (PDF). HackerOne. Retrieved 23 March 2020.
  16. ^ "Bug hunters aplenty but respect scarce for white hat hackers in India". Factor Daily. 8 February 2018. Retrieved 4 June 2018.
  17. ^ а б "Facebook Bug Bounty 2017 Highlights: $880,000 Paid to Researchers". Facebook. 11 January 2018. Retrieved 4 June 2018.
Преузето из „https://sr.wikipedia.org/w/index.php?title=Bag_baunti_program&oldid=26729642”