Crowdsourcing w poszukiwaniu błędów oprogramowania to dynamicznie rozwijający się biznes — i ryzykowny

Jerzy Wylesoł

Są Uberami cyfrowego świata bezpieczeństwa. Zamiast dopasowywać niezależnych kierowców do pasażerów, firmy takie jak Bugcrowd i HackerOne łączą ludzi, którzy lubią spędzać czas na szukaniu usterek w oprogramowaniu, z firmami, które chcą zapłacić im za znalezione błędy.

Ta gospodarka związana z cyberbezpieczeństwem rozrosła się do setek tysięcy hakerów, z których wielu ma doświadczenie w branży bezpieczeństwa IT. Niektórzy nadal mają pracę i polują na robaki w wolnym czasie, podczas gdy inni zarabiają na życie jako freelancer. Odgrywają one kluczową rolę w zwiększaniu bezpieczeństwa kodu w czasach, gdy liczba ataków gwałtownie rośnie, a koszty utrzymania wyspecjalizowanych zespołów ds. bezpieczeństwa wewnętrznego gwałtownie rosną.

Najlepsi niezależni obserwatorzy błędów mogą zarobić znaczne sumy pieniędzy. HackerOne, który ma ponad 200 000 zarejestrowanych użytkowników, twierdzi, że około 12 procent osób korzystających z jego usługi wynosi 20 000 USD lub więcej rocznie, a około 3% zarabia ponad 100 000 USD. Hakerzy korzystający z tych platform pochodzą głównie z USA i Europy, ale także z biedniejszych krajów, w których pieniądze, które mogą zarobić, zmuszają niektórych do pracy na pełny etat przy polowaniu na robaki. (Aby zapoznać się z profilem niezależnego hakera etycznego z siedzibą na Filipinach, zobacz naszą serię Jobs of the Future).

Środki czyszczące kod

Coraz więcej dużych firm, takich jak GM, Microsoft i Starbucks, prowadzi obecnie programy bug bounty, które oferują nagrody pieniężne tym, którzy wykryją i zgłoszą błędy w swoim oprogramowaniu. Platformy takie jak Bugcrowd mogą pomóc, informując społeczność hakerów o uruchamianych programach, ustalając priorytety błędów przesyłanych do firm i obsługując takie rzeczy, jak płatności.

Richard Rushing, dyrektor ds. bezpieczeństwa informacji w firmie Motorola Mobility, producenta smartfonów, mówi, że naprawdę lubi crowdsourcingowe wyszukiwanie błędów, ponieważ oznacza to, że wiele oczu nieustannie analizuje kod, a także dlatego, że niezależni łowcy szybko zgłaszają błędy w oprogramowaniu, aby zgarnąć nagrody, zanim zrobią to rywale.

Powiązana historia

Powiązana historia Niezależny cyberszpieg to realistyczna ścieżka kariery, jeśli możesz żyć tanio.

Co więcej, w czasie, gdy eksperci prognozują że 3,5 miliona miejsc pracy w obszarze cyberbezpieczeństwa na całym świecie będzie nieobsadzonych do 2021 r., ponieważ nie ma wystarczającej liczby wykwalifikowanych pracowników, freelancerzy mogą zmniejszyć obciążenie zespołów wewnętrznych.

Mimo to platformy stoją przed kilkoma dużymi wyzwaniami. Jednym z nich jest ciągłe powiększanie puli utalentowanych łowców błędów. Innym jest ustalenie większej jasności prawnej, jakich narzędzi i technik mogą bezpiecznie używać etyczni hakerzy. Popularne taktyki, takie jak ataki polegające na wstrzykiwaniu, polegające na wstawianiu do aplikacji kodu, który może zmienić sposób wykonywania programów, mogą potencjalnie prowadzić do ścigania na podstawie przepisów antyhakerskich, takich jak amerykańska ustawa o oszustwach i nadużyciach komputerowych (CFAA).

Zdarzały się już przypadki, w których badacze bezpieczeństwa i reporterzy: w obliczu możliwych działań prawnych do odkrywania i zgłaszania luk w kodzie firm. Wystarczyłoby tylko kilka głośnych procesów sądowych, aby wywrzeć mrożący wpływ na branżę.

zjednoczony haker

Aby sprostać wyzwaniu talentów, platformy crowdsourcingowe publikują znacznie więcej treści, aby pomóc hakerom podnieść ich umiejętności i przyciągnąć więcej osób do pracy na koncertach. Bugcrowd właśnie zaprezentował Bugcrowd University, który oferuje bezpłatne seminaria internetowe i pisemne przewodniki po takich rzeczach jak Burp Suite (tak, to naprawdę nazwa), który jest graficznym narzędziem do testowania bezpieczeństwa aplikacji internetowych.

Platforma współpracuje również z doświadczonymi hakerami etycznymi, aby pomóc jej wykrywać i szkolić obiecujących freelancerów. Najlepsi rekruci są ciekawi, wytrwali i chętni do szybkiej adaptacji. Technologia ewoluuje tak szybko, że często trudno jest ją dogonić, wyjaśnia Phillip Wylie, poszukiwacz talentów Bugcrowd w Dallas.

HackerOne publikuje również więcej materiałów szkoleniowych i szkoli niezależnych łowców błędów — którzy mogą być dziwacznymi, a czasem agresywnymi postaciami — w zakresie umiejętności miękkich, takich jak skuteczniejsza komunikacja z działami IT firmy.

Legalna osłona powietrzna

Na froncie prawnym platformy naciskają na wprowadzenie bardziej bezpiecznego języka do umów dotyczących nagród za błędy. Celem, jak mówi Adam Bacchus z HackerOne, jest uświadomienie firmom, że jeśli hakerzy będą przestrzegać zasad zaangażowania w granicach rozsądku, nie zostaną postawieni przed sądem.

Bugcrowd nawiązał współpracę z Amitem Elazari, badaczem bezpieczeństwa czyja praca podkreślił potrzebę bezpiecznego języka portowego, aby uruchomić inicjatywę o nazwie ujawnić.io stworzyć znormalizowane ramy do wyszukiwania i zgłaszania błędów. Zapewniłoby to wyraźne upoważnienie do korzystania z technik wykrywania błędów, które normalnie byłyby wyraźnym naruszeniem przepisów ustaw antyhakerskich.

Uzupełnia szersze pchnięcie w Stanach Zjednoczonych przez grupy takie jak Electronic Frontier Foundation, aby powstrzymać firmy od stosowania przepisów takich jak CFAA w celu uciszenia badaczy, którzy znajdują poważne wady i ujawniają je w odpowiedzialny sposób.

Casey Ellis, założyciel i prezes Bugcrowd, mówi, że niektóre inne kraje, takie jak Wielka Brytania i Niemcy, również mają surowe przepisy antyhakerskie, które można wykorzystać do utrudnienia etycznego hakowania.

Takie przepisy są potrzebne, aby uniemożliwić hakerom wszelkiego rodzaju spustoszenie. Wyzwaniem na przyszłość jest znalezienie rozsądnej równowagi między ochroną etycznych hakerów a ochroną firm przed nieuczciwymi, którzy mogą wyrządzić szkody. Uzyskanie tego w odpowiedni sposób nie będzie łatwe, ale biorąc pod uwagę poważny niedobór talentów w świecie cyberbezpieczeństwa, jest to problem, którym pilnie musimy się zająć.

Aktualizacja (27 sierpnia): Ten artykuł został zaktualizowany, aby pokazać rolę Amita Elazari w uruchomieniu ujawniania.io

ukryć