Bug Bounty
Bug bounty to program, w którym organizacja płaci zewnętrznym badaczom za znalezienie i zgłoszenie luk w zdefiniowanym zakresie (scope), zamiast czekać na publiczny exploit albo na ciszę do wycieku. To legalny kanał: zgłoszenie, triage, fix, wypłata albo uznanie.
Na blackweb.pl bug bounty nie jest obietnicą „łatwych pieniędzy z laptopa”. Jest instytucją rynku security: reguły, duplikaty, low quality reporty, spory o severity. Obok stoją pentesty kontraktowe i white hat etyka w kolorach kapeluszy, które w praktyce są mniej czyste niż w artykułach dla juniorów.
Jak to zwykle wygląda
Firma publikuje scope: domeny, aplikacje mobilne, co wolno, czego nie (np. DoS, social engineering na pracowników, fizyka). Badacz szuka XSS, SQLi, IDOR, SSRF, błędów auth. Raport trafia przez platformę (HackerOne, Bugcrowd i podobne) albo własny kanał. Triage sprawdza reprodukcję i wpływ. Potem fix, czasem patch publiczny, wypłata zależna od krytyczności.
VDP (Vulnerability Disclosure Policy) bywa bez nagród: „zgłoś legalnie, nie będziemy Cię ścigać w dobrej wierze”. Bounty dodaje pieniądze. Brak obu zostawia badacza w szarej strefie i firmę w trybie „zignorujemy maila”.
Co program kupuje, a czego nie
Kupuje pokrycie poza stałym zespołem i sygnał, że ktoś klika w edge case’y. Nie kupuje gwarancji braku luk. Nie zastępuje SDLC, code review ani szybkiego patchowania. Program z ogromnym scope i małym budżetem na triage produkuje frustrację po obu stronach.
Dla firmy krytyczne jest: jasny scope, czas reakcji, uczciwa wycena, brak karania za dobrą wiarę w granicach policy. Dla badacza: czytać policy, nie wychodzić poza scope, nie grozić publikacją dla wymuszenia wypłaty. To ostatnie bywa już bliżej szantażu niż researchu.
Stawka poza wypłatą
Publiczne programy kształtują reputację. Prywatne ograniczają hałas. Rządy i duże techy płacą wysokie kwoty za krytyczne łańcuchy na mobile i przeglądarkach, bo koszt zero-day na czarnym rynku jest inną liczbą. Bug bounty to próba przesunięcia części tego talentu na stronę legalną.
Z perspektywy czytelnika dziennika: gdy słyszysz „wypłacono za lukę w X”, to zwykle efekt procesu, nie Hollywood. Gdy słyszysz o milczącej luce bez kanału zgłoszeń, threat model firmy wygląda inaczej.
Bywa też napięcie między publicznym disclosure a embargiem: badacz czeka na fix, firma przeciąga, potem wszyscy się dziwią, że exploit wyszedł zanim łatka weszła na produkcję. Dobry program mierzy nie tylko wypłaty, ale czas od raportu do wdrożenia.
Czego tu nie ma
Nie ma poradnika „jak wejść na HackerOne i wycisnąć pierwsze 500 USD”. Jest definicja instytucji i jej limity. Atak poza scope bez zgody to nadal nieautoryzowany dostęp, niezależnie od intencji.