Programma Bug bounty

Un programma bug bounty è un accordo proposto da numerosi siti internet e sviluppatori software grazie al quale un individuo può ricevere riconoscimenti e ricompense in denaro per la segnalazione di bug, in particolar modo di quelli relativi ad exploit e vulnerabilità. Questi programmi permettono agli sviluppatori di scoprire e risolvere tali bug prima che siano di dominio pubblico, prevenendo problematiche potenzialmente di vasto impatto. Diversi programmi di Bug bounty sono stati avviati, tra i quali quelli di Facebook,[1] Yahoo!,[2] Google,[3] Reddit,[4], Square[5], Oracle Corporation[6] e NordVPN[7].

Programmi degni di nota

Durante l'ottobre del 2013, Google annunciò una significativa modifica al suo Programma di Ricompense per la Segnalazione di Vulnerabilità. Precedentemente consisteva in un programma bug bounty riguardante diversi prodotti Google. Con queste novità, tuttavia, il programma fu ampliato per includere una selezione di software libero, applicazioni e librerie ad alto rischio, principalmente quelli progettati per networking o funzionalità a basso livello di sistemi operativi. Le segnalazioni ritenute inerenti dalle linee guida di Google saranno potenzialmente idonee a essere ricompensate con cifre fra i $500 e i $3133.70.[8]

Similmente, nel novembre 2013 Microsoft e Facebook si accordarono per sponsorizzare "The Internet Bug Bounty", un programma di ricompense per la segnalazione di exploit per un ampio numero di software legati ad Internet.[9] Adobe Flash, Python, Ruby, PHP, Django, Ruby on Rails, Perl, OpenSSL, Nginx, Apache HTTP Server e Phabricator sono parte dei software inclusi in questo programma. Inoltre, il programma offriva ricompense per exploit relativi a sistemi operativi e browser, per coprire l'intero Internet.[10]

Note

1. Sicurezza Facebook, su facebook.com. URL consultato il 7 giugno 2016.
2. (EN) Yahoo! Bug Bounty Program, su hackerone.com, HackerOne. URL consultato l'11 marzo 2014.
3. (EN) Vulnerability Assessment Reward Program, su google.com. URL consultato l'11 marzo 2014.
4. (EN) Reddit - whitehat, su reddit.com, Reddit. URL consultato il 30 maggio 2015.
5. (EN) Square bug bounty program, su hackerone.com, HackerOne. URL consultato il 6 agosto 2014.
6. (EN) Oracle Security At Risk: Java.net Pwn3d By a White Hat Hacker, su facebook.com. URL consultato il 25 giugno 2016.
7. (EN) Anthony Spadafora 10 December 2019, NordVPN boosts security with new bug bounty program, su TechRadar. URL consultato il 3 giugno 2020.
8. (EN) Google offers “leet” cash prizes for updates to Linux and other OS software, su Ars Technica. URL consultato il 7 giugno 2016.
9. (EN) Now there’s a bug bounty program for the whole Internet, su Ars Technica. URL consultato il 7 giugno 2016.
10. (EN) The Internet Bug Bounty, su hackerone.com, HackerOne. URL consultato l'11 marzo 2014.