버그 바운티 프로그램

버그 바운티 프로그램(bug bounty program) 또는 취약점 제보 포상 프로그램은 많은 웹사이트, 조직 및 소프트웨어 개발자가 개인에게 소프트웨어 버그, 특히 보안 버그 취약점과 관련된 소프트웨어 버그를 보고한 것에 대한 인센티브와 보상을 제공하는 제도이다. 금전적 보상이 제공되지 않는 경우에는 취약점 공개 프로그램(vulnerability disclosure program)이라고 불린다.

크라우드소싱 모의 침투 테스트의 한 형태로 간주될 수 있는 이러한 프로그램은 버그 바운티 헌터, 화이트햇, 또는 윤리적 공인 해커라고 불리는 비소속 개인에게 취약점을 찾아 보고할 권한을 부여한다. 개발자가 일반 대중이 알기 전에 버그를 발견하고 패치하면, 이를 악용한 사이버 공격은 더 이상 불가능해진다.

버그 바운티 프로그램 참가자들은 다양한 국가 출신이며, 주요 동기가 금전적 보상이지만, 참여에는 다양한 다른 동기가 있다. 해커들은 소프트웨어 공급업체에 판매하는 대신 중개인, 스파이웨어 회사 또는 정부 기관에 미공개 제로 데이 취약점을 판매하여 훨씬 더 많은 돈을 벌 수 있다. 버그 바운티 프로그램의 범위를 벗어나 취약점을 찾으려 한다면, 사이버 범죄 법률에 따라 법적 위협에 직면할 수도 있다. 버그 바운티 프로그램의 규모는 2010년대 후반에 급격히 증가했다.

마이크로소프트, 페이스북, 구글, 모질라, 유럽 연합, 그리고 미국 연방 정부를 포함한 일부 대기업 및 조직은 자체 버그 바운티 프로그램을 운영하고 있다. 다른 회사들은 해커원과 같은 플랫폼을 통해 버그 바운티를 제공한다.

 역사 
1851년, 알프레드 찰스 홉스(Alfred Charles Hobbs)는 자물쇠를 따는 대가로 2만 달러(인플레이션 조정)를 받았다. 1995년, 넷스케이프는 넷스케이프 내비게이터 2.0 브라우저의 베타 버전에 대해 최초의 버그 바운티 프로그램을 시작했다. 이후 다른 기업들도 자체 버그 바운티 프로그램을 개설했다. 이러한 프로그램들은 전문가들이 버그 바운티를 더 쉽게 찾을 수 있도록 크라우드소싱 플랫폼에 의해 보완되었다.

 동기 
섬네일|악의적인 행위자가 먼저 발견했을 때의 취약점 타임라인. 회사가 먼저 취약점을 인지하면 악의적인 행위자가 해당 취약점을 악용하는 것을 방지하는 패치를 개발할 수 있다.|upright=1.4
개발자들은 의도한 대로 완벽하게 작동하는 제품을 제공하는 것을 목표로 하지만, 사실상 모든 소프트웨어에는 버그가 포함되어 있다. 버그가 보안 위험을 초래하면 취약점이라고 불리며, 공급업체가 이를 인지하지 못하면 제로 데이라고 불린다. 취약점은 악의적인 행위자에 의해 악용될 가능성에 따라 다양하다. 일부는 전혀 사용될 수 없지만, 다른 일부는 서비스 거부 공격으로 장치를 방해하는 데 사용될 수 있다. 가장 가치 있는 취약점은 공격자가 사용자 몰래 자신의 코드를 주입하고 실행할 수 있도록 한다. 공격으로 인한 피해는 심각할 수 있다.

보안을 개선하려는 조직은 시스템이 침해될 수 있는지 확인하기 위해 테스트한다. 많은 조직이 모의 침투 테스트를 수행하는 외부 서비스와 계약하지만, 이는 모든 취약점을 찾는 데 충분하지 않아 일부 회사는 크라우드소싱 정보를 보완한다. 많은 회사가 서드 파티 보고서에 회의적이며, 이러한 프로그램이 악의적인 활동을 증가시키거나, 너무 많은 비용이 들거나, 사기성 보고서를 유발할까 우려한다. 또는 버그 바운티 프로그램은 애플리케이션 보안에 대한 자신감이나 다른 보안 조치에 대한 선호 때문에 무시될 수도 있다. 일부 연구에 따르면 버그 바운티 프로그램을 통해 발견된 취약점당 비용이 취약점 검색을 위해 소프트웨어 개발자를 고용하는 것보다 훨씬 저렴하다는 것이 밝혀졌다.

 보상 
제공되는 보상의 규모는 회사의 규모, 취약점 발견의 난이도, 그리고 악용될 경우 그 영향이 얼마나 심각할 수 있는지와 같은 요소에 따라 달라진다. 성공적인 버그 바운티 헌터는 종종 소프트웨어 개발자보다 더 많은 돈을 벌 수 있다. 많은 버그 바운티 프로그램은 웹 애플리케이션에 중점을 둔다.

2013년 8월, 한 팔레스타인인 컴퓨터 과학 학생이 누구든지 임의의 페이스북 계정에 비디오를 게시할 수 있는 취약점을 보고했다. 학생과 페이스북 간의 이메일 통신에 따르면, 그는 페이스북의 버그 바운티 프로그램을 사용하여 취약점을 보고하려고 했지만, 페이스북 엔지니어들이 학생을 오해했다. 나중에 그는 마크 저커버그의 페이스북 프로필을 사용하여 취약점을 악용했고, 그 결과 페이스북은 그에게 포상금을 지급하기를 거부했다.

페이스북은 보안 버그를 발견하고 보고하는 연구원들에게 맞춤형 "화이트햇" 직불 카드를 발급하여 보상하기 시작했으며, 이 카드는 연구원들이 새로운 결함을 발견할 때마다 자금을 충전할 수 있었다.

섬네일|해커에게 주어진 페이스북 "화이트햇" 직불 카드 (보안 버그를 보고한 연구원에게 지급됨)

2016년, 우버는 한 개인이 전 세계 5,700만 우버 사용자의 개인 정보에 접근하는 보안 사고를 겪었다. 이 개인은 데이터를 공개하는 대신 파기하는 대가로 10만 달러의 몸값을 요구했다고 전해진다. 의회 증언에서 우버 CISO는 회사가 10만 달러를 지불하기 전에 데이터가 파기되었음을 확인했다고 밝혔다. 우버의 최고 정보 보안 책임자는 2016년에 이 사건을 공개하지 않은 것에 대해 유감을 표명했다. 이에 대한 대응의 일환으로 우버는 해커원과 협력하여 선의의 취약점 연구 및 공개를 설명하기 위해 버그 바운티 프로그램 정책을 업데이트했다.

야후!는 야후!에서 보안 취약점을 찾아 보고한 보안 연구원들에게 야후! 티셔츠를 보상으로 보내준 것에 대해 심한 비난을 받았다. 2013년 Ecava가 산업 제어 시스템을 위한 첫 번째 버그 바운티 프로그램을 출시했을 때, 현금 대신 상점 크레딧을 제공하여 보안 연구원들에게 동기를 부여하지 못한다는 비판을 받았다. Ecava는 이 프로그램이 처음에 제한적이며 자사의 ICS 소프트웨어인 IntegraXor SCADA 사용자들의 인명 안전 관점에 초점을 맞출 의도였다고 설명했다.

일부 버그 바운티 프로그램은 연구원들이 버그 바운티 프로그램으로부터 보수나 안전항구 혜택을 받기 위해 기밀유지 협약에 서명하도록 요구한다. 이러한 관행은 윤리적 근거로 인해 회사가 취약점에 대한 지식을 숨길 수 있도록 한다는 비판을 받아왔다.

 보고서 

제출은 누구에게나 공개되어 있기 때문에, 많은 수의 보고서(가장 큰 플랫폼인 해커원의 경우 50-70%로 추정됨)는 유효하지 않다. 한 연구에 따르면, 가장 많은 보고서가 이전에 알려진 취약점으로 거부되었으며, 그 다음으로 오탐, 범위 외, 중복, 그리고 개념 증명 부족 순이었다. 다른 연구에서는 더 많은 돈을 제공하는 바운티 프로그램이 더 많은 유효한 보고서를 받았다는 것을 발견했다. 유효하지 않은 보고서의 한 가지 원인은 해커들이 자신의 해결책을 확인하기 위해 추가 작업을 하는 것보다 보고서를 제출하는 것이 더 쉬울 수 있기 때문이다. 해커원을 포함한 일부 버그 바운티 플랫폼은 유효하지 않은 보고서의 수를 줄이기 위한 조치를 구현했다. 버그 바운티 프로그램은 공개가 아닌 신뢰할 수 있는 보안 연구원에게만 초대될 수도 있다. 취약점을 검증하고 보상을 받기 위해 해커는 일반적으로 발견된 취약점이 진짜 보안 버그임을 증명하기 위한 취약점 공격을 생성해야 한다. 버그 바운티 프로그램에서 가장 일반적으로 보고되는 취약점은 SQL 삽입, 사이트 간 스크립팅 (XSS), 그리고 설계 결함이다.
 참가자 
버그 바운티 프로그램 참가자들은 다양한 국가 출신이다. 해커원 플랫폼의 해커들을 대상으로 한 설문조사에서 19%는 자신의 위치를 미국이라고 응답했다. 교육 배경이나 나이에 관계없이 누구든지 보고서를 제출할 수 있다. 대부분의 보고서는 상대적으로 소수의 해커로부터 온다. 보고자 및 보고서 수는 2010년대 후반에 급격히 증가했다.

버그 바운티 참가자의 가장 많이 보고된 동기는 보고로 인한 금전적 보상이지만, 다른 동기 부여 요인으로는 인정받을 가능성, 지적 도전, 학습, 그리고 직업 기회가 있다. 2017년 Journal of Cybersecurity에 발표된 연구에 따르면, 오래된 버그 바운티 프로그램이 더 높은 금전적 보상을 제공했음에도 불구하고, 새로운 버그 바운티 프로그램이 더 많은 연구원들을 끌어들였다.

 주목할 만한 프로그램 
 기업 

2013년 10월, 구글은 취약점 보상 프로그램에 대한 주요 변경 사항을 발표했다. 이전에는 많은 구글 제품을 다루는 버그 바운티 프로그램이었다. 그러나 이번 변경으로 이 프로그램은 특히 컴퓨터 네트워킹 또는 저수준 운영체제 기능을 위해 설계된 고위험 자유 소프트웨어 애플리케이션 및 라이브러리를 포함하도록 확대되었다. 구글이 지침을 준수한다고 판단한 제출물은 500달러에서 3,133.70달러에 이르는 보상을 받을 자격이 있었다. 2017년, 구글은 구글 플레이 스토어를 통해 제공되는 제3자 개발 애플리케이션에서 발견된 취약점도 포함하도록 프로그램을 확대했다. 구글의 취약점 보상 프로그램은 현재 구글, 구글 클라우드, 안드로이드, 크롬 제품에서 발견된 취약점을 포함하며 최대 31,337달러의 보상을 제공한다.

마이크로소프트와 페이스북은 2013년 11월에 인터넷 버그 바운티를 후원하기 위해 협력했는데, 이는 광범위한 인터넷 관련 소프트웨어에 대한 해킹 및 취약점 공격 보고에 대해 보상을 제공하는 프로그램이다. 2017년, 깃허브와 포드재단이 이 이니셔티브를 후원했으며, 우버, 마이크로소프트, 어도비, 해커원, 깃허브, NCC 그룹, 시그널 사이언스(Signal Sciences) 등 자원봉사자들이 관리한다.
 정부 
2016년 3월, 피터 쿡은 미 연방 정부의 첫 번째 버그 바운티 프로그램인 "국방부 해킹(Hack the Pentagon)" 프로그램을 발표했다.

2019년, 유럽 연합 집행위원회는 드루팔, 아파치 톰캣, VLC, 7-Zip, 키패스 등 인기 있는 오픈 소스 모델 프로젝트를 위한 EU-FOSSA 2 버그 바운티 이니셔티브를 발표했다. 이 프로젝트는 유럽 버그 바운티 플랫폼인 인티그리티(Intigriti)와 해커원이 공동으로 주관했으며, 총 195개의 고유하고 유효한 취약점이 발견되었다.

2025년, 체코 공화국 정부는 Hackrate Ethical Hacking Platform에서 공식 버그 바운티 프로그램을 시작했다.

 플랫폼 

해커원을 포함한 일부 플랫폼들은 소프트웨어 공급업체를 대신하여 버그 바운티 프로그램을 운영하고 공급업체가 설정한 보상을 지급한다. 다른 플랫폼으로는 코발트, 버그크라우드(Bugcrowd), 시낙트(Synact) 등이 있다. 오픈 버그 바운티(Open Bug Bounty)는 2014년에 설립된 크라우드 보안 버그 바운티 프로그램으로, 개인들이 영향을 받는 웹사이트 운영자로부터 보상을 기대하며 웹사이트 및 웹 애플리케이션 보안 취약점을 게시할 수 있도록 한다.
 연구 

2021년 현재, 버그 바운티 프로그램에 대한 대부분의 정량적 연구는 공개적으로 접근 가능한 데이터셋에 초점을 맞추고 있다. 안전 필수 시스템에 대한 버그 바운티에 대한 연구는 아직 발표되지 않았는데, 이 시스템들은 인터넷과 점점 더 많이 연결되고 있다. 기존 연구의 대부분은 컴퓨터 과학 전문가들이 수행한 정량적 연구이며, 경제학, 법학, 철학 등 다양한 분야의 통찰력을 통합한 다학제적 관점이 부족하다.

 합법성 
취약점 발견은 여러 면에서 사이버 공격과 유사하다. 선의의 해커의 행동조차 사이버 범죄자를 기소하기 위해 제정된 형사법을 위반할 수 있다. 대부분의 해커는 법률 전문가가 아니며 해당 관할권의 법률에 대한 지식이 부족하다. 취약점 발견자가 취약점을 공개한 후 법적 위협을 받는 경우가 흔하다.

거의 모든 버그 바운티 프로그램이 정책을 준수하는 보고서에 대해 안전 항구를 약속하지만, 발견된 취약점이 이전에 확립된 버그 바운티 프로그램에 속하지 않는 경우, 관련 회사는 이를 불법적인 사이버 공격으로 보고할 수 있다. 중국에서는 일부 취약점 보고자들이 체포되어 기소되었으며, 여기에는 중국에서 가장 오래되고 가장 큰 취약점 보고 플랫폼인 우윈(WooYun)의 리더들도 포함된다.
 대체 취약점 시장 

모든 회사가 공개에 긍정적으로 반응하는 것은 아니다. 공개는 법적 책임과 운영상의 간접비용을 발생시킬 수 있기 때문이다. 취약점을 무료로 공개한 후 소프트웨어 공급업체로부터 중단 및 금지 서신을 받는 것은 드문 일이 아니다. 이전에 알려지지 않은 제로 데이 취약점을 발견한 일부 개인은 이를 공급업체에 직접 또는 제3자 버그 바운티 프로그램을 통해 판매하지 않는다. 한 연구에 따르면, 버그를 보고하지 않는 가장 흔한 이유로 웹사이트의 위협적인 문구, 보고할 명확한 장소의 부족, 그리고 이전 버그 보고서에 대한 응답 부족이 꼽혔다.

발견자들은 제로디움과 같은 중개인, NSO 그룹과 같은 스파이웨어 회사, 정부 또는 정보 기관에 취약점을 판매하여 경우에 따라 100만 달러 이상을 벌 수 있다. 정부 기관은 취약점을 사용하여 사이버 공격을 일으키거나, 취약점을 비축하거나, 공급업체에 통보할 수 있다. 일부 해커는 발견한 취약점을 범죄 집단에 판매하기도 한다. 2015년에는 정부 및 범죄 시장이 버그 바운티 시장보다 최소 10배 이상 큰 것으로 추정되었다.

 같이 보기 
 현상금 사냥꾼
 사이버 무기 산업
 크누스 보상 수표 (1980년 프로그램)
 오픈 소스 보상
 화이트햇
 제로디움

 각주 

 출처 

분류:대회
분류:해킹
분류:사이버 전쟁
분류:인터넷 보안