Lecture des périmètres et règles des programmes de chasse aux bogues

Le périmètre d'un programme définit précisément quels actifs sont autorisés pour les évaluations. Les éléments inclus dans le périmètre sont généralement des domaines, sous-domaines, plages d'IP ou noms de paquets d'applications mobiles précis. Évaluer quoi que ce soit en dehors du périmètre, même si cela semble connexe, est interdit et potentiellement illégal.

Un périmètre avec caractères génériques (*.example.com) inclut tous les sous-domaines. Les listes explicites nomment des domaines précis (api.example.com, app.example.com). Certains programmes définissent un périmètre fondé sur un ASN qui couvre toutes les IP du numéro de système autonome d'une entreprise : il s'agit de l'autorisation la plus étendue possible.

Éléments couramment hors périmètre : les services tiers utilisés par l'entreprise (Salesforce, Zendesk), les entreprises récemment acquises qui n'ont pas encore fait l'objet d'un examen de sécurité, certains sous-domaines utilisant des technologies anciennes et certains types de vulnérabilités (DoS, force brute, limitation du débit sans impact démontrable).

La protection juridique met les chercheurs en sécurité agissant de bonne foi à l'abri de poursuites lorsqu'ils respectent les règles du programme. Lisez attentivement le texte relatif à cette protection : il exige généralement une divulgation responsable, l'absence d'accès aux données au-delà de ce qui est nécessaire pour démontrer la vulnérabilité et l'absence de divulgation publique avant la correction.

La plupart des programmes interdisent : l’analyse automatisée à cadence élevée (risque de déni de service), l’évaluation de systèmes de production qui stockent les données réelles des utilisateurs sans autorisation explicite, l’ingénierie sociale visant les employés, l’évaluation de la sécurité physique et l’accès aux comptes d’utilisateurs sans leur consentement.

Les programmes de primes aux vulnérabilités utilisent des niveaux de gravité (critique, élevée, moyenne, faible) pour déterminer les récompenses. HackerOne et Bugcrowd utilisent des taxonomies de classification des vulnérabilités (VRT) afin de classer les vulnérabilités de manière cohérente. Comprenez comment le programme que vous ciblez évalue les vulnérabilités avant d’y consacrer du temps de recherche.

Avant toute évaluation, lisez la politique complète, notamment : la politique relative aux doublons (la première personne à signaler la vulnérabilité en reçoit le mérite), les conditions de garantie de sécurité juridique, le calendrier de divulgation, les attentes en matière de communication et toute consigne d’évaluation particulière, comme les comptes d’essai ou les environnements de préproduction fournis.

Les programmes privés sont accessibles uniquement sur invitation — ils sont souvent moins concurrentiels et offrent un meilleur rapport signal/bruit. Les programmes publics sont ouverts à tous — la concurrence y est plus forte, mais les cibles sont plus variées. Bâtissez votre réputation dans les programmes publics afin de recevoir des invitations à des programmes privés offrant des récompenses plus élevées.

La divulgation coordonnée des vulnérabilités (CVD) fixe un délai — généralement de 90 jours — pendant lequel le fournisseur peut corriger la vulnérabilité avant sa divulgation publique. Respectez ce délai. Si le fournisseur ne répond pas, contactez la plateforme du programme. Une divulgation publique prématurée nuit aux utilisateurs et aux relations avec les programmes.

Lorsque le périmètre est ambigu, posez vos questions dans le formulaire de soumission du programme avant toute évaluation. « Toutes les fonctionnalités principales du produit » peut inclure ou non les interfaces d’administration. Clarifier ce point à l’avance évite de gaspiller vos efforts et de risquer une violation du périmètre.

Choisissez des programmes correspondant à vos compétences : les compétences en évaluation d’applications web correspondent aux programmes d’interfaces REST, l’expérience mobile aux programmes propres aux applications mobiles et l’expertise réseau aux programmes de primes liés à l’infrastructure. Lisez les rapports récemment divulgués pour comprendre ce que le programme récompense et ce qu’il écarte comme ayant un faible impact.

Quel est l’objectif d’une clause de garantie de sécurité juridique dans un programme de primes aux vulnérabilités ?

Comprendre le périmètre d’un programme de primes aux vulnérabilités — actifs inclus, activités interdites, conditions de garantie de sécurité juridique, structures de récompense et délais de divulgation — est essentiel avant de commencer toute évaluation. Lire attentivement les programmes évite les violations du périmètre, le gaspillage d’efforts et les risques juridiques.