Un programa de recompensas por errores es un acuerdo ofrecido por muchos sitios web, organizaciones y desarrolladores de software mediante el cual las personas pueden recibir reconocimiento y compensación [1] [2] por informar errores , especialmente aquellos relacionados con vulnerabilidades y exploits de seguridad . [3]
Estos programas permiten a los desarrolladores descubrir y resolver errores antes de que el público en general los conozca, lo que evita incidentes de abuso generalizado y violaciones de datos. Los programas de recompensas por errores han sido implementados por una gran cantidad de organizaciones, incluidas Mozilla , [4] [5] Facebook , [6] Yahoo!, [ 7] Google , [8] Reddit , [9] Square , [10] Microsoft , [11] [12] y el programa de recompensas por errores de Internet. [13]
Las empresas fuera de la industria tecnológica, incluidas organizaciones tradicionalmente conservadoras como el Departamento de Defensa de los Estados Unidos , han comenzado a utilizar programas de recompensas por errores. [14] El uso de programas de recompensas por errores por parte del Pentágono es parte de un cambio de postura que ha visto a varias agencias del gobierno de los EE. UU. revertir el curso de amenazar a los piratas informáticos de sombrero blanco con recursos legales a invitarlos a participar como parte de un marco o política integral de divulgación de vulnerabilidades. [15]
En 1981, Hunter y Ready iniciaron el primer programa conocido de recompensas por errores para su sistema operativo Versatile Real-Time Executive . Cualquiera que encontrara y denunciara un error recibiría a cambio un Volkswagen Beetle ( también conocido como Bug). [16]
El 10 de octubre de 1995, Netscape Communications Corporation lanzó un programa de "recompensas por errores" para la versión beta de su navegador Netscape Navigator 2.0. [17] [18] [19]
En agosto de 2013, un estudiante palestino de informática denunció una vulnerabilidad que permitía a cualquiera publicar un vídeo en una cuenta arbitraria de Facebook. Según la comunicación por correo electrónico entre el estudiante y Facebook, intentó informar de la vulnerabilidad utilizando el programa de recompensas por errores de Facebook, pero los ingenieros de Facebook no lo entendieron. Más tarde, explotó la vulnerabilidad utilizando el perfil de Facebook de Mark Zuckerberg , lo que provocó que Facebook se negara a pagarle una recompensa. [20]
Facebook comenzó a pagar a los investigadores que encuentran y reportan errores de seguridad emitiéndoles tarjetas de débito personalizadas "White Hat" que pueden recargarse con fondos cada vez que los investigadores descubren nuevos fallos. "Los investigadores que encuentran errores y mejoras de seguridad son raros, y los valoramos y tenemos que encontrar formas de recompensarlos", dijo Ryan McGeehan, ex gerente del equipo de respuesta de seguridad de Facebook, a CNET en una entrevista. "Tener esta tarjeta negra exclusiva es otra forma de reconocerlos. Pueden presentarse en una conferencia y mostrar esta tarjeta y decir 'Hice un trabajo especial para Facebook'". [21] En 2014, Facebook dejó de emitir tarjetas de débito a los investigadores. [ cita requerida ]
En 2016, Uber sufrió un incidente de seguridad cuando un individuo accedió a la información personal de 57 millones de usuarios de Uber en todo el mundo. El individuo supuestamente exigió un rescate de 100.000 dólares para destruir los datos en lugar de publicarlos. En un testimonio ante el Congreso, el CISO de Uber indicó que la empresa verificó que los datos habían sido destruidos antes de pagar los 100.000 dólares. [22] El Sr. Flynn expresó su pesar por el hecho de que Uber no revelara el incidente en 2016. Como parte de su respuesta a este incidente, Uber trabajó con su socio HackerOne para actualizar sus políticas del programa de recompensas por errores para, entre otras cosas, explicar con más detalle la investigación y divulgación de vulnerabilidades de buena fe. [23]
Yahoo! fue duramente criticado por enviar camisetas de Yahoo! como recompensa a los investigadores de seguridad por encontrar y reportar vulnerabilidades de seguridad en Yahoo!, lo que desencadenó lo que se dio en llamar el T-shirt-gate . [24] High-Tech Bridge , una empresa de pruebas de seguridad con sede en Ginebra, Suiza, emitió un comunicado de prensa diciendo que Yahoo! ofrecía $12.50 en crédito por vulnerabilidad, que podría usarse para artículos de marca Yahoo, como camisetas, tazas y bolígrafos de su tienda. Ramses Martinez, director del equipo de seguridad de Yahoo, afirmó más tarde en una publicación de blog [25] que él estaba detrás del programa de recompensas con cupones, y que básicamente los había estado pagando de su propio bolsillo. Finalmente, Yahoo! lanzó su nuevo programa de recompensas por errores el 31 de octubre del mismo año, que permite a los investigadores de seguridad enviar errores y recibir recompensas de entre $250 y $15,000, dependiendo de la gravedad del error descubierto. [26]
De manera similar, cuando Ecava lanzó el primer programa conocido de recompensas por errores para ICS en 2013, [27] [28] fueron criticados por ofrecer créditos de tienda en lugar de efectivo, lo que no incentiva a los investigadores de seguridad. [29] Ecava explicó que el programa estaba destinado a ser inicialmente restrictivo y centrado en la perspectiva de seguridad humana para los usuarios de IntegraXor SCADA , su software ICS. [27] [28]
Algunos programas de recompensas por errores han sido criticados como herramientas para evitar que los investigadores de seguridad revelen públicamente vulnerabilidades, al condicionar la participación en programas de recompensas por errores, o incluso la concesión de un puerto seguro , a acuerdos abusivos de no divulgación . [30] [31]
Aunque las solicitudes de recompensas por errores provienen de muchos países, un puñado de países tienden a enviar más errores y recibir más recompensas. Estados Unidos e India son los principales países desde los que los investigadores envían errores. [32] India, que tiene el primer o segundo mayor número de cazadores de errores del mundo, según el informe que se cite, [33] encabezó el Programa de recompensas por errores de Facebook con la mayor cantidad de errores válidos. [34] En 2017, India tuvo la mayor cantidad de envíos válidos al programa Whitehat de Facebook, seguido de Estados Unidos y Trinidad y Tobago . [34]
En octubre de 2013, Google anunció un cambio importante en su Programa de recompensas por vulnerabilidades. Anteriormente, había sido un programa de recompensas por errores que cubría muchos productos de Google. Sin embargo, con el cambio, el programa se amplió para incluir una selección de aplicaciones y bibliotecas de software libre de alto riesgo , principalmente aquellas diseñadas para redes o para funcionalidades de sistema operativo de bajo nivel . Las presentaciones que Google considerara que se ajustaban a las pautas serían elegibles para recompensas que iban desde $500 a $3,133.70. [35] [36] En 2017, Google amplió su programa para cubrir vulnerabilidades encontradas en aplicaciones desarrolladas por terceros y puestas a disposición a través de Google Play Store. [37] El Programa de recompensas por vulnerabilidades de Google ahora incluye vulnerabilidades encontradas en productos de Google, Google Cloud, Android y Chrome, y recompensas de hasta $31,337. [38]
Microsoft y Facebook se asociaron en noviembre de 2013 para patrocinar The Internet Bug Bounty, un programa que ofrece recompensas por informar sobre ataques y vulnerabilidades en una amplia gama de software relacionado con Internet. [39] En 2017, GitHub y The Ford Foundation patrocinaron la iniciativa, que está gestionada por voluntarios de Uber, Microsoft, [40] Adobe, HackerOne, GitHub, NCC Group y Signal Sciences. [41] El software cubierto por el IBB incluye Adobe Flash , Python , Ruby , PHP , Django , Ruby on Rails , Perl , OpenSSL , Nginx , Apache HTTP Server y Phabricator . Además, el programa ofrecía recompensas por vulnerabilidades más amplias que afectaran a sistemas operativos y navegadores web de uso generalizado , así como a Internet en su conjunto. [42]
En marzo de 2016, Peter Cook anunció el primer programa de recompensas por errores del gobierno federal de Estados Unidos, el programa "Hack the Pentagon". [43] El programa funcionó del 18 de abril al 12 de mayo y más de 1400 personas enviaron 138 informes válidos únicos a través de HackerOne . En total, el Departamento de Defensa de Estados Unidos pagó 71 200 dólares. [44]
En 2019, la Comisión Europea anunció la iniciativa de recompensas por errores EU-FOSSA 2 para proyectos populares de código abierto , incluidos Drupal , Apache Tomcat , VLC , 7-zip y KeePass . El proyecto fue cofacilitado por la plataforma europea de recompensas por errores Intigriti y HackerOne y dio como resultado un total de 195 vulnerabilidades únicas y válidas. [45]
Open Bug Bounty es un programa de recompensas por errores de seguridad creado en 2014 que permite a las personas publicar vulnerabilidades de seguridad en sitios web y aplicaciones web con la esperanza de obtener una recompensa de los operadores de los sitios web afectados. [46]