Chương trình săn lỗi nhận thưởng

Chương trình săn lỗi nhận thưởng (tiếng Anh: Bug bounty program) là một cơ chế được nhiều trang web, tổ chức và nhà phát triển phần mềm áp dụng, nhằm ghi nhận và trả thù lao thù lao xứng đáng cho những cá nhân phát hiện và báo cáo các lỗi phần mềm, đặc biệt là những lỗ hổng bảo mật. Trong trường hợp không có phần thưởng tài chính, mô hình này được gọi là chương trình tiết lộ lỗ hổng bảo mật (vulnerability disclosure program).

Được xem như một dạng thử nghiệm xâm nhập dựa trên nguồn lực cộng đồng, các chương trình này cấp phép cho những cá nhân bên ngoài—thường được gọi là các thợ săn tiền thưởng lỗi, hacker mũ trắng hoặc hacker đạo đức—tìm kiếm và báo cáo các lỗ hổng bảo mật. Nhờ việc phát hiện và tung ra các bản vá kịp thời trước khi lỗ hổng bị lộ ra ngoài, các đơn vị phát triển có thể ngăn chặn hiệu quả các cuộc tấn công mạng vốn có ý định khai thác chúng.

Cộng đồng tham gia săn lỗi đến từ rất nhiều quốc gia khác nhau. Dù tiền thưởng là động lực chính, họ còn tìm thấy ở đây nhiều giá trị tinh thần và sự khẳng định khác. Trên thực tế, một hacker có thể kiếm được khoản lợi nhuận lớn hơn nhiều nếu đem bán các lỗ hổng zero-day chưa công bố cho các bên trung gian, các công ty phần mềm gián điệp hoặc các cơ quan chính phủ thay vì báo cho nhà cung cấp. Tuy nhiên, việc săn lỗi nằm ngoài phạm vi quy định của chương trình có thể khiến họ đối mặt với rủi ro pháp lý theo các luật về tội phạm mạng. Kể từ cuối những năm 2010, quy mô của các chương trình săn lỗi nhận thưởng đã có sự tăng trưởng vượt bậc.

Nhiều tập đoàn và tổ chức lớn hiện đang tự vận hành chương trình săn lỗi của riêng mình, có thể kể đến Microsoft, Facebook, Google, Mozilla, Liên minh Châu Âu và cả Chính phủ Liên bang Hoa Kỳ. Trong khi đó, các công ty khác thường cung cấp giải thưởng thông qua các nền tảng chuyên dụng như HackerOne.

Tham khảo

Tài liệu

Thể loại:An ninh Internet
Thể loại:Tin tặc
Thể loại:Cuộc thi
Thể loại:Chiến tranh mạng