Czytanie zakresów i zasad programów bug bounty

Zakres programu dokładnie określa, jakie zasoby są objęte autoryzacją do testów. Zakres zazwyczaj obejmuje konkretne domeny, subdomeny, zakresy adresów IP lub nazwy pakietów aplikacji mobilnych. Testowanie czegokolwiek poza zakresem — nawet jeśli jest powiązane z programem — jest nieautoryzowane i potencjalnie niezgodne z prawem.

Zakres z użyciem wildcardu (*.example.com) obejmuje wszystkie subdomeny. Jawne listy zawierają konkretne domeny (api.example.com, app.example.com). Niektóre programy stosują zakres oparty na ASN, obejmujący wszystkie adresy IP w systemie autonomicznym firmy — jest to najszersza możliwa forma autoryzacji.

Typowe elementy poza zakresem to: usługi zewnętrzne używane przez firmę (Salesforce, Zendesk), niedawno przejęte firmy, które nie zostały jeszcze poddane przeglądowi bezpieczeństwa, określone subdomeny korzystające ze starszych technologii oraz niektóre typy podatności (DoS, brute force, ograniczanie szybkości bez możliwego do wykazania wpływu).

Klauzula safe harbor chroni działających w dobrej wierze badaczy bezpieczeństwa przed działaniami prawnymi, jeśli przestrzegają zasad programu. Należy uważnie przeczytać treść klauzuli safe harbor — zazwyczaj wymaga ona odpowiedzialnego ujawnienia, unikania dostępu do danych wykraczającego poza zakres niezbędny do wykazania podatności oraz nieujawniania jej publicznie przed usunięciem.

Większość programów zabrania: automatycznego skanowania z dużą częstotliwością (ryzyko DoS), testowania systemów produkcyjnych przechowujących rzeczywiste dane użytkowników bez wyraźnej zgody, inżynierii społecznej pracowników, testowania zabezpieczeń fizycznych oraz uzyskiwania dostępu do kont użytkowników bez ich zgody.

Programy bug bounty używają poziomów istotności (krytyczny, wysoki, średni, niski) do ustalania nagród. HackerOne i Bugcrowd korzystają z taksonomii oceny podatności (VRT), aby spójnie klasyfikować błędy. Przed zainwestowaniem czasu w badania należy zrozumieć, jak wybrany program ocenia podatności.

Przed rozpoczęciem testów należy przeczytać pełne zasady, w tym: zasady dotyczące duplikatów (uznanie otrzymuje pierwsza osoba zgłaszająca), warunki safe harbor, harmonogram ujawniania, zasady komunikacji oraz wszelkie szczegółowe wytyczne dotyczące testów, takie jak udostępnione konta testowe lub środowiska stagingowe.

Programy prywatne są dostępne wyłącznie na zaproszenie — często oznacza to mniejszą konkurencję i lepszy stosunek sygnału do szumu. Programy publiczne są otwarte dla wszystkich — zapewniają większą różnorodność celów, ale wiążą się z większą konkurencją. Budowanie reputacji w programach publicznych pomaga otrzymywać zaproszenia do programów prywatnych oferujących wyższe nagrody.

Koordynowane ujawnianie podatności (CVD) wyznacza termin — zazwyczaj 90 dni — na naprawienie problemu przez dostawcę przed publicznym ujawnieniem. Należy przestrzegać tego terminu. Jeśli dostawca nie odpowiada, należy skontaktować się z platformą programu. Przedwczesne publiczne ujawnienie szkodzi użytkownikom i relacjom z programami.

Gdy zakres jest niejednoznaczny, przed rozpoczęciem testów należy zadać pytanie za pośrednictwem formularza zgłoszeniowego programu. Sformułowanie „wszystkie główne funkcje produktu” może obejmować panele administracyjne, ale nie musi. Wcześniejsze wyjaśnienie tej kwestii zapobiega marnowaniu czasu i potencjalnym naruszeniom zakresu.

Należy wybierać programy dopasowane do swoich umiejętności: umiejętności testowania aplikacji webowych pasują do programów dotyczących REST API, doświadczenie mobilne do programów związanych z konkretnymi aplikacjami, a wiedza sieciowa do programów bug bounty dotyczących infrastruktury. Warto czytać niedawno ujawnione raporty, aby zrozumieć, za co dany program przyznaje nagrody, a co odrzuca jako mało istotne.

Jaki jest cel klauzuli safe harbor w programie bug bounty?

Zrozumienie zakresu programu bug bounty — zasobów objętych zakresem, zabronionych działań, warunków safe harbor, struktur nagród i terminów ujawniania — jest niezbędne przed rozpoczęciem testów. Uważne czytanie zasad programów zapobiega naruszeniom zakresu, marnowaniu czasu i ryzyku prawnemu.