漏洞赏金

漏洞赏金计划（英語：Bug bounty program）是来自许多网站、组织和软件开发商提供的一种交易，个人可以通过报告缺陷（尤其是与安全漏洞利用和漏洞相关的缺陷）来获得认可和奖励^[1][2][3]。

这些计划允许开发人员在公众意识到漏洞之前发现并解决它们，从而防止大规模滥用和数据泄露事件的发生。许多组织已经实施了漏洞赏金计划，包括Mozilla^[4][5]、Facebook^[6]、Yahoo!^[7]、Google^[8]、Reddit^[9]、Square^[10]、Microsoft^[11][12]和互联网漏洞赏金计划^[13]。

科技行业以外，即使是美国国防部这样的传统保守组织也开始使用漏洞赏金计划^[14]。美国国防部使用漏洞赏金计划是其姿态转变的一部分，一些美国政府机构已经从威胁对白帽黑客采取法律措施，转变为邀请他们参与进来作为全面漏洞披露架构或政策的一部分^[15]。

Hunter和Ready在1981年为他们的Versatile Real-Time Executive操作系统发起了第一个已知的漏洞赏金计划。任何发现并报告漏洞的人都会得到一辆大众甲壳虫汽车（a.k.a. Bug）作为奖励^[16]。

1995年10月10日，网景通讯公司为其Netscape Navigator 2.0浏览器的测试版推出了“漏洞赏金”计划^[17][18][19]。

2013年8月，一名巴勒斯坦计算机科学专业学生报告了一个漏洞，该漏洞允许任何人将视频发布到任意 Facebook 帐户。根据该学生与 Facebook 之间的电子邮件通信，他试图使用 Facebook 的漏洞赏金计划报告该漏洞，但 Facebook 的工程师误解了他的意思。后来，他利用马克·扎克伯格的 Facebook 个人资料利用了该漏洞，导致 Facebook 拒绝向他支付赏金^[20]。

Facebook 开始向发现并报告安全漏洞的研究人员支付报酬，方法是向他们发放定制品牌的“白帽”借记卡，每次研究人员发现新漏洞时都可以为其充值。Facebook 安全响应团队前经理 Ryan McGeehan 在接受 CNET 采访时表示：“发现漏洞和安全改进的研究人员非常少见，我们很重视他们，必须找到奖励他们的方法。” “拥有这张独家黑卡是认可他们的另一种方式。他们可以出现在会议上，出示这张卡，并说‘我为 Facebook 做了特殊工作’。”^[21]2014年，Facebook 停止向研究人员发放借记卡。^{[來源請求]}

2016年，优步 发生了一起安全事件，一名个人访问了全球5700万优步用户的个人信息。据称，该个人索要10万美元的赎金，以销毁而不是公布这些数据。在国会证词中，优步 CISO 表示，该公司在支付10万美元之前已核实数据已被销毁^[22]。Flynn 先生对优步没有在2016年披露该事件表示遗憾。作为对该事件的回应的一部分，优步与合作伙伴 HackerOne 合作更新了其漏洞赏金计划政策，以便更全面地解释善意的漏洞研究和披露^[23]。

Yahoo! 因向安全研究人员发送 Yahoo! T 恤作为奖励，以感谢他们发现并报告 Yahoo! 中的安全漏洞而受到严厉批评，引发了后来被称为“T 恤门”的事件^[24]。瑞士日内瓦的安全测试公司 High-Tech Bridge 发布了一份新闻稿，称 Yahoo! 为每个漏洞提供12.50美元的信用额度，可用于在其商店购买 Yahoo! 品牌商品，如 T 恤、杯子和钢笔。Yahoo! 安全团队负责人 Ramses Martinez 后来在一篇博客文章中声称^[25]，他是代金券奖励计划的幕后推手，而且他基本上是用自己的钱支付这些费用的。最终，Yahoo! 在同年10月31日启动了新的漏洞赏金计划，允许安全研究人员提交漏洞并获得250美元到15,000美元不等的奖励，具体取决于发现的漏洞的严重程度^[26]。

同样，当Ecava在2013年发布第一个已知的 ICS 漏洞赏金计划时^[27][28]，他们因提供商店积分而不是现金而受到批评，这并不能激励安全研究人员^[29]。Ecava 解释说，该计划最初旨在具有限制性，并侧重于其 ICS 软件IntegraXor SCADA用户的安全性^[27][28]。

一些漏洞赏金计划被批评为阻止安全研究人员公开披露漏洞的工具，方法是将参与漏洞赏金计划，甚至授予安全港，都与滥用保密协议联系起来^[30][31]。

尽管漏洞赏金的提交来自许多国家，但少数几个国家往往提交的漏洞更多，获得的赏金也更多。美国和印度是研究人员提交漏洞最多的国家^[32]。印度拥有世界上数量最多或第二多的漏洞猎人，具体取决于引用的报告^[33]，在 Facebook 漏洞赏金计划中提交的有效漏洞数量最多^[34]。2017年，印度向Facebook的Whitehat计划提交的有效漏洞数量最多，其次是美国和特立尼达和多巴哥^[34]。

2013年10月，Google宣布对其漏洞奖励计划进行重大调整。此前，该计划是一个涵盖许多 Google 产品的漏洞赏金计划。然而，随着这一转变，该计划的范围扩大到包括精选的高风险自由软件 应用程序和库，主要是那些为网络或低级操作系统功能设计的应用程序和库。Google 认为符合指南的提交将有资格获得500美元到3,133.70美元不等的奖励^[35][36]。2017年，Google 扩大了其计划范围，将第三方开发并通过 Google Play 商店提供的应用程序中发现的漏洞也包括在内^[37]。Google 的漏洞奖励计划现在包括在 Google、Google Cloud、Android 和 Chrome 产品中发现的漏洞，奖励高达31,337美元^[38]。

Microsoft和Facebook于2013年11月合作发起了“互联网漏洞赏金”计划，该计划旨在为报告各种与互联网相关的软件的黑客攻击和漏洞利用提供奖励^[39]。2017年，GitHub和福特基金会赞助了该计划，该计划由包括优步、Microsoft^[40]、Adobe、HackerOne、GitHub、NCC Group 和 Signal Sciences 在内的志愿者管理^[41]。IBB 涵盖的软件包括 Adobe Flash、Python、Ruby、PHP、Django、Ruby on Rails、Perl、OpenSSL、Nginx、Apache HTTP Server 和 Phabricator。此外，该计划还为影响广泛使用的操作系统和网络浏览器以及整个互联网的更广泛的漏洞利用提供奖励^[42]。

2016年3月，彼得·库克宣布了美国联邦政府的首个漏洞赏金计划——“入侵五角大楼”计划^[43]。该计划从4月18日持续到5月12日，超过1,400人通过HackerOne提交了138份独特的有效报告。美国国防部总共支付了71,200美元^[44]。

2019年，欧盟委员会宣布了针对流行开源软件项目的EU-FOSSA2漏洞赏金计划，这些项目包括Drupal、Apache Tomcat、VLC、7-zip 和 KeePass。该项目由欧洲漏洞赏金平台 Intigriti 和 HackerOne 共同推动，共发现了195个独特且有效的漏洞^[45]。

“公开漏洞赏金”是一个成立于2014年的群体安全漏洞赏金计划，允许个人发布网站和网络应用程序安全漏洞，希望从受影响的网站运营商那里获得奖励^[46]。

• 赏金猎人
• 网络军火工业
• 高德纳奖金支票（1980年的计划）
• 零日漏洞市场
• 开源赏金
• 白帽黑客
• 零日漏洞