valem a pena porque incentivam pesquisadores de seguranca a relatar vulnerabilidades de softwares para desenvolvedores, em vez de explorar essas falhas para ganhos privados.A Google ja contratou um caca-recompensas como pesquisador de seguranca full-time, e mais contratacoes podem acontecer. Claramente, grandes premios sao uma boa maneira de atrair e estimular os melhors cacadores de bugs - alguns tao bons que poderiam viver apenas identificando vulnerabilidades.Analise o Chromium Secutiry Hall of Fame, por exemplo, e voce vera que o pesquisador Sergey Glazunov ganhou quase 20 mil dolares este ano, como um cacador de bugs. E isso foi so da Google. Com a proliferacao de grandes recompensas, que estao sendo oferecidas por fornecedores ou equipes de pesquisa de seguranca, como TippingPoint (recentemente comprada pela HP) e possivel que pesquisadores talentosos ganhem a vida de forma mais decente, como cacadores de premios.Zero Day InitiativeDando aos pesquisadores de seguranca reconhecimento positivo - e grandes premios em dinheiro - por reportar falhas, a Zero Day Initiative, um programa de compra de vulnerabilidades, espera tornar a internet mais segura. Toda vez que a ZDI pagar por uma falha, ela informa ao fornecedor responsavel pela vulnerabilidade, livre de cobrancas."Todo ano nos informamos centenas de bugs para a Microsoft e a Adobe gratuitamente", disse Aaron Portnoy, que gerencia a Zero Day Initiative, alem de trabalhar na competicao Pwn2Own. "Se o fornecedor nao tiver uma correcao pronta em seis meses, nos liberamos os detalhes da exploracao publicamente. Colocamos pressao sobre os fornecedores para corrigir esses problemas."Mas a ZDI nao e totalmente altruista. Ela pode pagar recompensas de ate 25mil dolares por dados sobre bugs porque a organizacao monetiza as falhas por meio da Digital Vaccine, um servico de filtro de malware baseado em assinatura da HP (que tambem e a dona da ZDI) A Digital Vaccine fornece protecao imediata das vulnerabilidades encontradas pelo ZDI para quem estiver disposto a pagar por isso, permitindo o lucro da iniciativa enquanto recompensa pesquisadores de seguranca.E o double-dipping?Uma pergunta obvia: como a Google e a ZDI podem garantir que um hacker que descobre uma vulnerabilidade e reivindica a recompensa tambem nao vai vender as informacoes sobre que exploram a cibercriminosos? A resposta e que eles nao podem. Mas isso talvez nao importe tanto quanto voce pensa.Todo programa de recompensas que investigamos tem um sistema de honra, que exclui os pesquisadores que fazem o double-dipping. Mas a longo prazo, quem oferece recompensas nao se preocupa muito com a possibilidade de que cacadores de recompensas por bugs passarem informacoes sobre as vulnerabilidades descobertas para mal intencionados, porque elas se tornarao obsoletas na proxima correcao. Em ultima instancia ZDI ganha com a venda da Digital Vaccine para assinantes que pagam pelo privilegio de receber correcoes de bug quase que de maneira imediata para seus produtos e servicos favoritos, em vez de esperar que os fornecedores para corrijam as vulnerabilidades descobertas.Mire nos hackers, nao nos bugsA filosofia dos programas de recompensas se resume a isso: Capturar assaltantes e muito dificil, portanto, em vez, vamos ter certeza que a casa e realmente segura. "Localizar hackers e cada vez mais dificil",