برنامه باگ باونتی

یک برنامه باگ باونتی به دلیل گزارش باگ‌ها، به خصوص باگ‌هایی که باعث سو استفاده و آسیب پذیری می‌شوند، و اینکه در ازای گزارش این باگ‌ها افراد پاداش دریافت می‌کنند و یا به رسمیت شناخته می‌شوند، مورد توجه بسیاری از وب سایت‌ها و توسعه دهندگان نرم‌افزاری قرار گرفته‌است .این برنامه‌ها به توسعه دهندگان اجازه می‌دهند که باگ‌ها را قبل از اینکه عموم مردم از آن‌ها مطلع شوند کشف کنند، و مانع از حوادثی چون سو استفاده گسترده شوند. برنامه‌های باگ باونتی توسط تعداد زیادی از سازمان‌ها،از جمله Mozilla، Facebook، Yahoo، Google، Reddit، Square و Microsoft اجرا شدند. شرکت‌های صنعتی که با تکنولوژی سر و کار چندانی ندارند، از جمله سازمان‌های محافظه کار سنتی مانند وزارت دفاع امریکا، استفاده از برنامه‌های باگ باونتی را آغاز کردند. استفاده پنتاگون از برنامه‌های باگ باونتی بخشی از برنامه تغییر دولت است و چندین آژانس دولتی آمریکا از این برنامه استفاده می‌کنند، بر طبق این برنامه از هکرهای کلاه سفید (در زمینه امنیت کامپیوتری) دعوت می‌شود تا در افشای آسیب پذیری‌های امنیتی مشارکت کنند.

نقض سیاست افشای آسیب پذیری

در آگوست سال 2013، یک دانشجوی علوم کامپیوتر به نام Khalil در تایم لاین وب سایت فیس بوک که موسس آن مارک زوکربرگ بود، پستی ارسال کرد. بر طبق گفته هکرها او در این پست برای گزارش یک آسیب پذیری با استفاده از برنامه باگ باونتی فیس بوک تلاش کرد، اما به دلیل گزارش ناقص او، به او گفته شد که گزارش او در حقیقت یک باگ نیست . 
فیس بوک پژوهشگرانی را به این کار گمارد که باگ‌های امنیتی را پیدا کنند، و برای این پژوهشگران کارت‌های اعتباری به نام “White Hat” صادر کرد و هر بار که محققین نقض جدیدی را پیدا می‌کردند به اعتبار این کارت افزوده می‌شد. "محققینی که باگ‌ها را پیدا می‌کنند و امنیت را بهبود می‌بخشند نادر هستند، و ما آن‌ها را ارج می‌نهیم و باید راه‌هایی را برای پاداش دادن به ان‌ها پیدا کنیم". Ryan McGeehan، مدیر سابق تیم امنیتی فیس بوک، در مصاحبه خود با CNET گفت، "داشتن کارت مشکی انحصاری روش دیگری برای شناخت این پژوهشگران است. آن‌ها می‌توانند در کنفرانس کارت خود را نشان دهند و بگویند " من کار خاصی را برای فیس بوک انجام داده ام". در سال 2014، فیس بوک صدور کارت اعتباری برای محققین را متوقف کرد.
در سال 2016، کمپانی ride sharing به نام Uber زمانی که فردی به اطلاعات شخصی 57 میلیون کاربر Uber در سراسر جهان دست یافت، یک حادثه امنیتی را تجربه کرد. این افراد ظاهراً مبلغ $100,000 در ازای نابودی داده کاربران طلب کردند. در کنگره، Uber CISO بیان کرد که کمپانی به دلیل نابودی داده‌ها متحمل $100,000 خسارت شد . آقای Flynn از اینکه Uber این حادثه را در سال 2016 افشا نکرد ابراز پشیمانی کرد. به عنوان بخشی از پاسخ آن‌ها به این حادثه، Uber با HackerOne برای به روز رسانی سیاست‌های برنامه باگ باونتی، برای توضیح بیشتر تحقیقات و افشای آُسیب پذیری کار کردند. 
هند، که جز اولین یا دومین شکارچیان بزرگ باگ در جهان است، بسته به شهری که از آن گزارش می‌دهد ، برنامه باگ باونتی فیس بوک را با تعداد بزرگتری باگ معتبر گزارش داد . " هند در راس تعداد ناشران معتبر در سال 2017 قرار گرفت، بعد از آن، ایالات متحده و Trinidad & Tobago دوم و سوم بودند"، و فیس بوک این مطلب را در پستی اعلام کرد. . 
Yahoo! به شدت برای ارسال تیشرت‌های Yahoo! به عنوان پاداش به پژوهشگران امنیتی در ازای یافتن و گزارش آسیب پذیری‌های امنیتی در Yahoo! مورد انتقاد قرار گرفت، و جرقه چیزی به نام T-shirt-gate زده شد . High-Tech Bridge، یک Geneva، یک کمپانی تست امنیت سوئیسی نشریه‌ای را منتشر کرد که بیان میکرد که Yahoo! $12.50 اعتبار را برای هر آسیب پذیری پاداش می‌دهد، که این اعتبار می‌تواند برای خرید آیتم‌هایی با برند Yahoo مانند تیشرت، فنجان و خودکار از مغازه استفاده شود. Ramses Martinez، مدیر تیم امنیتی Yahoo' بعدها در پست وبلاگ خود ادعا کرد که او حامی برنامه پاداش کوپنی است، و اساساً هزینه این کار را از جیب خود پرداخت کرد. در نهایت، Yahoo! برنامه باگ باونتی جدید خود را در 31 اکتبر همان سال راه اندازی کرد، که به محققین امنیتی اجازه داد که باگ‌های خود را ارسال کنند و پاداشی بین $250 و $15,000، بسته به شدت باگ کشف شده دریافت کنند .

برنامه‌های قابل توجه

در اکتبر سال 2013، گوگل تغییرات اصلی را در برنامه پاداش آسیب پذیری خود اعلام کرد. این یک برنامه باگ باونتی است که بسیاری از محصولات گوگل را پوشش می‌دهد. با تغییر، برنامه برای شامل شدن مجموعه ای از اپلیکیشن‌های نرم‌افزاری مستثنی از ریسک و کتابخانه‌ها بسط داده شد، که در درجه اول برای شبکه بندی یا برای عملکرد سیستم‌های سطح پایین طراحی شد. مقالاتی که گوگل با رهنمودهای آن موافق است مستلزم پاداشی از $500 تا $3133.70 بودند . در سال 2017، Google برنامه خود را برای پوشش آسیب پذیری‌هایی که در اپلیکیشن توسعه یافته توسط شخص ثالث یافته‌است بسط داد و آن را از طریق Google Play Store در دسترس قرار داد. 
به‌طور مشابه، Microsoft and Facebook در نوامبر سال 2013 برای حمایتگری مالی با هم همکاری کردند. باگ باونتی اینترنت، یک برنامه برای ارائه پاداش برای گزارش دهی هک‌ها است و از یک طیف وسیع نرم‌افزارهای مرتبط با اینترنت استفاده کرده‌است. در سال 2017، بنیاد GitHub و Ford اسپانسر طرح‌ها بودند، که توسط داوطلبانی از Uber, Microsoft, Facebook, Adobe, and HackerOne مدیریت شدند. نرم‌افزار تحت پوشش IBB شامل Adobe Flash, Python, Ruby, PHP, Django, Ruby on Rails, Perl, OpenSSL, Nginx, Apache HTTP Server و Phabricator هستند. علاوه بر این، برنامه پاداشی را برای استفاده گسترده‌تر از مواردی که به صورت گسترده از سیستم عامل‌ها و مرورگرهای وب و اینترنت در کل استفاده می‌کرد پیشنهاد داد . 
در مارس سال 2016، Peter Cook اولین برنامه باگ باونتی دولت فدرال، به نام برنامه "Hack the Pentagon" را معرفی کرد . برنامه از 18 آوریل تا 12 می اجرا شد و بیش از 1400 نفر 138 گزارش منحصر را از طریق HackerOne ارسال کردند. در مجموع؛ وزارت دفاع آمریکا $71,200 پرداخت کرد . در ژانویه، وزیر دفاع، Ash Carter با دو شرکت کننده، David Dworken و Craig Arendt ملاقات کرد، و به آن‌ها افتخار شرکت در برنامه را داد. 
Open Bug Bounty یک برنامه باگ باونتی امنیت جمعیت است که در سال 2014 ایجاد شده‌است که به افراد اجازه می‌دهد که آسیب پذیری‌های امنیتی وب سایت را به امید پاداش گرفتن از اپراتورهای وب سایت مربوطه، ارسال کنند.