Bug bounty

Origem: Wikipédia, a enciclopédia livre.

Um programa de recompensa por bugs (bug bounty) é um programa oferecido por algumas organizações nos quais indivíduos podem receber recompensas[1] por relatar bugs, especialmente aqueles relacionados a explorações de segurança e vulnerabilidades.

Esses programas permitem que desenvolvedores descubram e resolvam bugs antes que atinjam o público em geral, evitando incidentes maiores. Os programas de recompensas por bugs foram implementados por um grande número de organizações, incluindo Mozilla,[2] Facebook,[3] Yahoo!,[4] Google,[5] Reddit,[6] Square[7] e Microsoft.[8]

História[editar | editar código-fonte]

A Hunter & Ready iniciou o primeiro programa conhecido de recompensa por bugs em 1983 para o seu sistema operacional Versatile Real-Time Executive. Qualquer pessoa que encontrasse e relatasse um bug receberia um Volkswagen Fusca (do inglês, Beetle, besouro, um trocadilho com bug, inseto).[9]

Programas notáveis[editar | editar código-fonte]

Em outubro de 2013, o Google anunciou uma grande mudança em seu Programa de Recompensas por Vulnerabilidade. Anteriormente, havia sido um programa de recompensas por bugs que abrangem muitos produtos do Google. Com a mudança, no entanto, o programa foi ampliado para incluir uma seleção de aplicativos e bibliotecas de software livre de alto risco, principalmente aqueles projetados para rede ou para funcionalidades de de baixo nível dr sistemas operacionais. Os envios que o Google considerasse pertinentes seriam elegíveis para recompensas que variavam de US$ 500 a US$ 3133,70.[10][11] Em 2017, o Google expandiu seu programa para cobrir vulnerabilidades encontradas em aplicativos desenvolvidos por terceiros e disponibilizados na Google Play Store.[12] O Programa de recompensas para vulnerabilidades do Google agora inclui vulnerabilidades encontradas nos produtos Google, Google Cloud, Android e Chrome e recompensa até US$ 31.337.[13]

A Microsoft e o Facebook se uniram em novembro de 2013 para patrocinar o Internet Bug Bounty, um programa que oferece recompensas por relatar hacks em uma ampla gama de softwares relacionados à Internet.[14] Em 2017, o GitHub e a Fundação Ford patrocinaram a iniciativa.[15] O software coberto pelo IBB inclui Adobe Flash, Python, Ruby, PHP, Django, Ruby on Rails, Perl, OpenSSL, Nginx, Apache HTTP Server e Phabricator. Além disso, o programa oferecia recompensas por vulnerabilidades mais amplas que afetassem sistemas operacionais e navegadores da web amplamente utilizados, bem como a Internet como um todo.[16]

Em março de 2016, Peter Cook anunciou o primeiro programa de recompensas por bugs do governo federal dos EUA, o programa "Hack the Pentagon".[17] O programa ocorreu de 18 de abril a 12 de maio e mais de 1.400 pessoas enviaram 138 relatórios válidos exclusivos através do HackerOne. No total, o Departamento de Defesa dos EUA pagou US$ 71.200 em recompensas.[18]

Ver também[editar | editar código-fonte]

Referências

  1. «The Hacker-Powered Security Report - Who are Hackers and Why Do They Hack p. 23» (PDF). HackerOne. 2017. Consultado em 5 de junho de 2018 
  2. «Mozilla Security Bug Bounty Program». Mozilla (em inglês). Consultado em 9 de julho de 2017 
  3. Facebook Security (26 de abril de 2014). «Facebook WhiteHat». Facebook. Consultado em 11 de março de 2014 
  4. «Yahoo! Bug Bounty Program». HackerOne. Consultado em 11 de março de 2014 
  5. «Vulnerability Assessment Reward Program». Consultado em 11 de março de 2014 
  6. «Reddit - whitehat». Reddit. Consultado em 30 de maio de 2015 
  7. «Square bug bounty program». HackerOne. Consultado em 6 de agosto de 2014 
  8. «Microsoft Bounty Programs». Security TechCenter. Consultado em 2 de setembro de 2016. Cópia arquivada em 21 de novembro de 2013 
  9. «The first "bug" bounty program». Twitter. 8 de julho de 2017. Consultado em 5 de junho de 2018 
  10. Goodin, Dan (9 de outubro de 2013). «Google offers "leet" cash prizes for updates to Linux and other OS software». Ars Technica. Consultado em 11 de março de 2014 
  11. Zalewski, Michal (9 de outubro de 2013). «Going beyond vulnerability rewards». Google Online Security Blog. Consultado em 11 de março de 2014 
  12. «Google launched a new bug bounty program to root out vulnerabilities in third-party apps on Google Play». The Verge. 22 de outubro de 2017. Consultado em 4 de junho de 2018 
  13. «Vulnerability Assessment Reward Program». Consultado em 23 de março de 2020 
  14. Goodin, Dan (6 de novembro de 2013). «Now there's a bug bounty program for the whole Internet». Ars Technica. Consultado em 11 de março de 2014 
  15. «Facebook, GitHub, and the Ford Foundation donate $300,000 to bug bounty program for internet infrastructure». VentureBeat. 21 de julho de 2017. Consultado em 4 de junho de 2018 
  16. «The Internet Bug Bounty». HackerOne. Consultado em 11 de março de 2014 
  17. «DoD Invites Vetted Specialists to 'Hack' the Pentagon». U.S. DEPARTMENT OF DEFENSE. Consultado em 21 de junho de 2016 
  18. «Vulnerability disclosure for Hack the Pentagon». HackerOne. Consultado em 21 de junho de 2016 

Ligações externas[editar | editar código-fonte]