โปรแกรมBug Bountyเป็นข้อเสนอที่เว็บไซต์ องค์กร และนักพัฒนาซอฟต์แวร์หลายแห่งนำเสนอ ซึ่งบุคคลสามารถได้รับการยอมรับและค่าตอบแทน^{[ 1 ]}สำหรับการรายงานข้อบกพร่อง โดยเฉพาะอย่างยิ่งข้อ ^{บกพร่อง}ที่เกี่ยวข้องกับช่องโหว่ด้านความปลอดภัย [ ^{2 ]}หากไม่มีรางวัลทางการเงิน จะเรียกว่าโปรแกรมการเปิดเผยช่องโหว่^{[ 3 ] [ 4 ]}

โปรแกรมเหล่านี้ ซึ่งสามารถถือได้ว่าเป็นรูปแบบหนึ่งของ^การทดสอบการเจาะระบบแบบ crowdsourced [ ^{5 ]}อนุญาตให้บุคคลที่ไม่เกี่ยวข้อง—เรียกว่า bug bounty hunters ^{[ 6 ]} white hatsหรือethical hackers ^{[ 7 ]} —ค้นหาและรายงานช่องโหว่^{[ 3 ]}หากนักพัฒนาค้นพบและแก้ไขข้อบกพร่องก่อนที่สาธารณชนทั่วไปจะทราบ การโจมตีทางไซเบอร์ที่อาจใช้ประโยชน์จาก ช่องโหว่ นั้นก็จะไม่เกิดขึ้นอีกต่อไป^{[ 3 ]}

ผู้เข้าร่วมโครงการล่าหาช่องโหว่ (bug bounty programs) มาจากหลากหลายประเทศ และถึงแม้แรงจูงใจหลักคือผลตอบแทนทางการเงิน แต่ก็ยังมีแรงจูงใจอื่นๆ อีกมากมายสำหรับการเข้าร่วม แฮกเกอร์อาจได้รับเงินมากกว่ามากจากการขายช่องโหว่ Zero-dayที่ไม่เปิดเผยให้กับตัวกลาง บริษัท สปายแวร์หรือหน่วยงานรัฐบาล แทนที่จะขายให้กับผู้จำหน่ายซอฟต์แวร์ หากพวกเขาค้นหาช่องโหว่ที่อยู่นอกเหนือขอบเขตของโครงการล่าหาช่องโหว่ พวกเขาอาจเผชิญกับภัยคุกคามทางกฎหมายภายใต้ กฎหมาย อาชญากรรมไซเบอร์ขนาดของโครงการล่าหาช่องโหว่เพิ่มขึ้นอย่างมากในช่วงปลายทศวรรษ 2010

บริษัทและองค์กรขนาดใหญ่บางแห่งดำเนินการและบริหารโปรแกรมการให้รางวัลสำหรับการค้นหาช่องโหว่ของตนเอง รวมถึง Microsoft, Facebook, Google, Mozilla , สหภาพยุโรป [ ^{8 ]}และรัฐบาลกลางของสหรัฐอเมริกา^{[ 9 ] บริษัทอื่นๆ เสนอโปรแกรมการให้รางวัล สำหรับ} การ ค้นหา ช่องโหว่ผ่านแพลตฟอร์มต่างๆ เช่นHackerOne

ในปี ค.ศ. 1851 อัลเฟรด ชาร์ลส์ ฮอบส์ได้รับเงิน 20,000 ดอลลาร์สหรัฐ (ปรับตามอัตราเงินเฟ้อ) เพื่อสะเดาะกุญแจ^{[ 10 ]}ในปี ค.ศ. 1983 บริษัท Hunter & Ready ได้ลงโฆษณาโดยใช้สโลแกนว่า "รับบั๊กถ้าคุณพบบั๊ก" โดยเสนอรางวัลเป็นรถยนต์Volkswagen Beetle ให้กับแฮกเกอร์ที่ค้นพบบั๊กในระบบปฏิบัติการ VRTX ของบริษัท ^{[ 11 ] [ 12 ]}ในปี ค.ศ. 1995 Netscapeได้เปิดตัวโปรแกรมให้รางวัลบั๊กสำหรับ เวอร์ชัน เบต้าของเบราว์เซอร์ Netscape Navigator 2.0 ^{[ 10 ] [ 13 ] [ 14 ]}ต่อมา บริษัทอื่นๆ ก็ได้เปิดโปรแกรมให้รางวัลบั๊กของตนเองเช่นกัน โดยเสริมด้วย แพลตฟอร์ม crowdsourcingที่ทำให้ผู้เชี่ยวชาญสามารถค้นหาบั๊กได้ง่ายขึ้น^{[ 10 ]}

แม้ว่านักพัฒนาซอฟต์แวร์จะตั้งเป้าหมายที่จะส่งมอบผลิตภัณฑ์ที่ทำงานได้อย่างสมบูรณ์ตามที่ตั้งใจไว้ แต่ซอฟต์แวร์ แทบทั้งหมด ก็มีบั๊กอยู่^{[ 15 ] [ 5 ]}หากบั๊กก่อให้เกิดความเสี่ยงด้านความปลอดภัย จะเรียกว่าช่องโหว่และหากผู้จำหน่ายไม่ทราบ จะเรียกว่าช่องโหว่ แบบ Zero-day ^{[ 16 ] [ 17 ]}ช่องโหว่มีศักยภาพในการถูกโจมตีโดยผู้ไม่ประสงค์ดีแตกต่างกันไป บางช่องโหว่ใช้งานไม่ได้เลย ในขณะที่บางช่องโหว่สามารถใช้เพื่อขัดขวางการทำงานของอุปกรณ์ด้วยการโจมตีแบบปฏิเสธการให้บริการ ช่อง โหว่ที่มีค่ามากที่สุดจะช่วยให้ผู้โจมตีสามารถแทรกและรันโค้ดของตนเองได้โดยที่ผู้ใช้ไม่รู้ตัว^{[ 18 ]}ความเสียหายจากการโจมตีอาจรุนแรงมาก^{[ 19 ]}

องค์กรที่ต้องการปรับปรุงความปลอดภัยจะทดสอบระบบของตนเพื่อดูว่าสามารถถูกเจาะได้หรือไม่^{[ 5 ]}หลายบริษัททำสัญญากับบริการภายนอกที่ทำการทดสอบการเจาะระบบแต่สิ่งนี้ไม่เพียงพอที่จะค้นหาช่องโหว่ทั้งหมด ทำให้บางบริษัทต้องเสริมด้วยข้อมูลจากแหล่งต่างๆ^{[ 3 ]}หลายบริษัทมีความสงสัยในรายงานจากบุคคลที่สาม^{[ 20 ]}เกรงว่าโปรแกรมเหล่านี้จะเพิ่มกิจกรรมที่เป็นอันตราย มีค่าใช้จ่ายสูงเกินไป หรือนำมาซึ่งรายงานที่เป็นเท็จ ในทางกลับกัน โปรแกรมการให้รางวัลสำหรับการค้นหาช่องโหว่อาจถูกละเลยเนื่องจากความมั่นใจในความปลอดภัยของแอปพลิเคชันหรือเลือกใช้มาตรการรักษาความปลอดภัยอื่นๆ แทน^{[ 21 ]}บางการศึกษาพบว่าต้นทุนต่อช่องโหว่ที่พบนั้นต่ำกว่ามากเมื่อใช้โปรแกรมการให้รางวัลมากกว่าการจ้างวิศวกรซอฟต์แวร์เพื่อค้นหาช่องโหว่^{[ 20 ]}

ขนาดของรางวัลที่เสนอจะแตกต่างกันไปตามปัจจัยต่างๆ เช่น ขนาดของบริษัท ความยากในการค้นหาช่องโหว่ และความรุนแรงของผลกระทบที่อาจเกิดขึ้นหากถูกโจมตี^{[ 6 ]} นักล่าบั๊กที่ประสบความสำเร็จมักจะ ได้รับเงินมากกว่านักพัฒนาซอฟต์แวร์^{[ 22 ]}โปรแกรมบั๊กหลายโปรแกรมมุ่งเน้นไปที่แอปพลิเคชันเว็บ^{[ 23 ]}

ในเดือนสิงหาคม พ.ศ. 2556 นักศึกษาวิทยาการคอมพิวเตอร์ ชาวปาเลสไตน์รายงานช่องโหว่ที่อนุญาตให้ใครก็ได้โพสต์วิดีโอในบัญชี Facebook ใดก็ได้ ตามการสื่อสารทางอีเมลระหว่างนักศึกษาและ Facebook เขาพยายามรายงานช่องโหว่โดยใช้โปรแกรมให้รางวัลสำหรับการค้นพบข้อบกพร่องของ Facebook แต่วิศวกรของ Facebook เข้าใจผิด ต่อมาเขาใช้ประโยชน์จากช่องโหว่โดยใช้โปรไฟล์ Facebook ของMark Zuckerbergส่งผลให้ Facebook ปฏิเสธที่จะจ่ายเงินรางวัลให้เขา^{[ 24 ]}

Facebook เริ่มจ่ายเงินให้กับนักวิจัยที่ค้นพบและรายงานช่องโหว่ด้านความปลอดภัยโดยการออก บัตรเดบิต "White Hat" ที่มีตราสินค้าเฉพาะซึ่งสามารถเติมเงินได้ทุกครั้งที่นักวิจัยค้นพบช่องโหว่ใหม่^{[ 25 ]}

ในปี 2016 Uberประสบเหตุการณ์ด้านความปลอดภัยเมื่อมีบุคคลหนึ่งเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้ Uber 57 ล้านคนทั่วโลก บุคคลดังกล่าวเรียกร้องค่าไถ่ 100,000 ดอลลาร์สหรัฐเพื่อทำลายข้อมูลแทนที่จะเผยแพร่ ในการให้การต่อสภาคองเกรส CISO ของ Uber ระบุว่าบริษัทได้ตรวจสอบแล้วว่าข้อมูลถูกทำลายก่อนที่จะจ่ายเงิน 100,000 ดอลลาร์สหรัฐ^{[ 26 ]}หัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูลของ Uber แสดงความเสียใจที่ไม่เปิดเผยเหตุการณ์ดังกล่าวในปี 2016 ในส่วนหนึ่งของการตอบสนอง Uber ได้ร่วมมือกับHackerOneเพื่ออัปเดตนโยบายโปรแกรมการให้รางวัลสำหรับการค้นพบช่องโหว่เพื่ออธิบายการวิจัยและการเปิดเผยช่องโหว่โดยสุจริต^{[ 27 ]}

Yahoo!ถูกวิพากษ์วิจารณ์อย่างหนักจากการส่งเสื้อยืด Yahoo! เป็นรางวัลให้กับนักวิจัยด้านความปลอดภัยที่ค้นพบและรายงานช่องโหว่ด้านความปลอดภัยใน Yahoo! ^{[ 28 ]}เมื่อEcavaเปิดตัวโปรแกรมให้รางวัลสำหรับการค้นหาบั๊กครั้งแรกสำหรับICSในปี 2013 ^{[ 29 ] [ 30 ]}พวกเขาถูกวิพากษ์วิจารณ์จากการเสนอเครดิตในร้านค้าแทนเงินสด ซึ่งไม่จูงใจนักวิจัยด้านความปลอดภัย^{[ 31 ]} Ecava อธิบายว่าโปรแกรมนี้ตั้งใจให้มีข้อจำกัดในเบื้องต้นและมุ่งเน้นไปที่มุมมองด้านความปลอดภัยของมนุษย์สำหรับผู้ใช้IntegraXor SCADAซึ่งเป็นซอฟต์แวร์ ICS ของพวกเขา^{[ 29 ] [ 30 ]}

โปรแกรมการให้รางวัลสำหรับการค้นหาช่องโหว่บางโปรแกรมกำหนดให้ผู้วิจัยต้องลงนามในข้อตกลงไม่เปิดเผยข้อมูลเพื่อรับค่าตอบแทนหรือผลประโยชน์จากการคุ้มครองจากโปรแกรมการให้รางวัลสำหรับการค้นหาช่องโหว่ การปฏิบัตินี้ถูกวิพากษ์วิจารณ์ในประเด็นด้านจริยธรรมว่าทำให้บริษัทสามารถปกปิดความรู้เกี่ยวกับช่องโหว่ได้^{[ 32 ] [ 33 ] [ 34 ]}

เนื่องจากการส่งรายงานเปิดให้ทุกคน จึงมีรายงานจำนวนมาก (ประมาณ 50-70 เปอร์เซ็นต์สำหรับHackerOneซึ่งเป็นแพลตฟอร์มที่ใหญ่ที่สุด) ที่ไม่ถูกต้อง^{[ 35 ] [ 36 ]}การศึกษาหนึ่งพบว่ารายงานที่ถูกปฏิเสธมากที่สุดคือช่องโหว่ที่ทราบอยู่แล้ว ตามด้วยผลลัพธ์ที่ผิดพลาดนอกขอบเขต รายงานซ้ำซ้อน และเนื่องจากขาดหลักฐานยืนยันแนวคิดการศึกษาอีกชิ้นหนึ่งพบว่าโปรแกรมให้รางวัลที่เสนอเงินมากขึ้นได้รับรายงานที่ถูกต้องมากขึ้น^{[ 37 ]}สาเหตุหนึ่งของรายงานที่ไม่ถูกต้องคือแฮกเกอร์อาจส่งรายงานได้ง่ายกว่าการทำงานเพิ่มเติมเพื่อตรวจสอบวิธีแก้ปัญหาของตน^{[ 38 ]}แพลตฟอร์มการให้รางวัลบั๊กบางแห่ง รวมถึง HackerOne ได้นำมาตรการต่างๆ มาใช้เพื่อลดจำนวนรายงานที่ไม่ถูกต้อง^{[ 38 ]}โปรแกรมการให้รางวัลบั๊กอาจเป็นการเชิญเฉพาะนักวิจัยด้านความปลอดภัยที่เชื่อถือได้แทนที่จะเปิดให้สาธารณะ^{[ 39 ]}เพื่อยืนยันช่องโหว่และรับรางวัล แฮ็กเกอร์มักจะต้องสร้างช่องโหว่เพื่อพิสูจน์ว่าช่องโหว่ที่พบนั้นเป็นข้อบกพร่องด้านความปลอดภัย ที่ แท้จริง^{[ 6 ]}ช่องโหว่ที่รายงานบ่อยที่สุดในโปรแกรมล่ารางวัลบั๊ก ได้แก่ การโจมตีแบบSQL injection , การโจมตีแบบ Cross-site scripting (XSS) และข้อบกพร่องด้านการออกแบบ^{[ 40 ]}

ผู้เข้าร่วมโครงการล่าหาช่องโหว่มาจากหลากหลายประเทศ จากการสำรวจแฮกเกอร์บน แพลตฟอร์ม HackerOneพบว่า 19 เปอร์เซ็นต์ระบุว่าตนเองอยู่ในสหรัฐอเมริกา^{[ 34 ]}ทุกคนสามารถรายงานได้ ไม่ว่าจะมีพื้นฐานการศึกษาหรืออายุเท่าใด^{[ 41 ]}รายงานส่วนใหญ่มาจากแฮกเกอร์จำนวนไม่มากนัก^{[ 42 ]}จำนวนผู้รายงานและรายงานเพิ่มขึ้นอย่างมากในช่วงปลายทศวรรษ 2010 ^{[ 43 ]}

แม้ว่าแรงจูงใจที่รายงานมากที่สุดของผู้เข้าร่วมโครงการล่ารางวัลบั๊กคือรางวัลทางการเงินจากการรายงาน^{[ 44 ]}แต่ปัจจัยกระตุ้นอื่นๆ ได้แก่ ศักยภาพในการได้รับการยอมรับ ความท้าทายทางปัญญา การเรียนรู้ และโอกาสในการทำงาน^{[ 45 ] [ 3 ] [ 7 ]}การศึกษาในปี 2017 ที่ตีพิมพ์ในJournal of Cybersecurityพบว่าโครงการล่ารางวัลบั๊กที่ใหม่กว่าดึงดูดนักวิจัยได้มากกว่า แม้ว่าโครงการเก่าๆ จะเสนอรางวัลทางการเงินที่สูงกว่าก็ตาม^{[ 46 ]}

ข้อมูล ณ ปี 2021งานวิจัยเชิงปริมาณส่วนใหญ่เกี่ยวกับโปรแกรมการให้รางวัลสำหรับการค้นหาช่องโหว่ได้มุ่งเน้นไปที่ชุดข้อมูลที่เข้าถึงได้โดยสาธารณะ ยังไม่มีการตีพิมพ์งานวิจัยเกี่ยวกับรางวัลสำหรับการค้นหาช่องโหว่ในระบบที่สำคัญต่อความปลอดภัยซึ่งเชื่อมต่อกับอินเทอร์เน็ตมากขึ้นเรื่อยๆ งานวิจัยที่มีอยู่ส่วนใหญ่เป็นเชิงปริมาณและสร้างขึ้นโดยผู้เชี่ยวชาญด้านวิทยาศาสตร์คอมพิวเตอร์ โดยขาดมุมมองแบบสหวิทยาการที่รวมเอาข้อมูลเชิงลึกจากสาขาต่างๆ เช่น เศรษฐศาสตร์ กฎหมาย และปรัชญา^{[ 44 ]}

การค้นพบช่องโหว่มีความคล้ายคลึงกับ การโจมตีทางไซเบอร์ในหลายแง่มุมการกระทำของแฮกเกอร์ที่มีเจตนาดีก็อาจละเมิดกฎหมายอาญาที่ตราขึ้นเพื่อดำเนินคดีกับอาชญากรไซเบอร์ แฮกเกอร์ส่วนใหญ่ไม่ใช่ผู้เชี่ยวชาญด้านกฎหมายและขาดความรู้เกี่ยวกับกฎหมายในเขตอำนาจศาลของตน^{[ 61 ]}เป็นเรื่องปกติที่ผู้ค้นพบช่องโหว่จะได้รับการข่มขู่ทางกฎหมายหลังจากเปิดเผยช่องโหว่^{[ 62 ]}

แม้ว่าโปรแกรมการให้รางวัลสำหรับการค้นหาช่องโหว่เกือบทั้งหมดจะให้คำมั่นสัญญา ว่า จะให้ความคุ้มครองแก่รายงานที่สอดคล้องกับนโยบายของพวกเขา^{[ 61 ]}แต่หากช่องโหว่ที่ค้นพบไม่ตรงกับโปรแกรมการให้รางวัลสำหรับการค้นหาช่องโหว่ที่กำหนดไว้ก่อนหน้านี้ บริษัทที่เกี่ยวข้องอาจรายงานว่าเป็นการโจมตีทางไซเบอร์ที่ผิดกฎหมาย^{[ 61 ] [ 62 ]}ในประเทศจีน ผู้รายงานช่องโหว่บางรายถูกจับกุมและดำเนินคดี รวมถึงผู้นำของWooYunซึ่งเป็นแพลตฟอร์มการรายงานช่องโหว่ที่เก่าแก่และใหญ่ที่สุดในประเทศ^{[ 61 ]}

ไม่ใช่ว่าทุกบริษัทจะตอบสนองในเชิงบวกต่อการเปิดเผยข้อมูล เนื่องจากอาจก่อให้เกิดความรับผิดทางกฎหมายและค่าใช้จ่ายในการดำเนินงาน ไม่ใช่เรื่องแปลกที่จะได้รับ จดหมาย แจ้งให้หยุดการกระทำจากผู้จำหน่ายซอฟต์แวร์หลังจากเปิดเผยช่องโหว่โดยไม่คิดค่าใช้จ่าย^{[ 63 ]}บางคนที่พบช่องโหว่แบบ zero-day ที่ไม่เคยมีใครรู้มาก่อน จะไม่ขายช่องโหว่นั้นให้กับผู้จำหน่ายโดยตรงหรือโดยอ้อมผ่านโปรแกรม bug bounty ของบุคคลที่สาม จากการศึกษาหนึ่งพบว่าเหตุผลที่พบบ่อยที่สุดสำหรับการไม่รายงานข้อบกพร่องคือภาษาที่คุกคามบนเว็บไซต์ การขาดสถานที่ที่ชัดเจนในการรายงาน และการไม่ตอบสนองต่อรายงานข้อบกพร่องก่อนหน้านี้^{[ 64 ]}

ผู้ค้นพบสามารถสร้างรายได้มากขึ้น—มากกว่า 1 ล้านดอลลาร์สหรัฐในบางกรณี—โดยการขายช่องโหว่ให้กับนายหน้า เช่นZerodium บริษัท สปายแวร์เช่นNSO Groupรัฐบาล หรือหน่วยงานข่าวกรอง หน่วยงานรัฐบาลอาจใช้ช่องโหว่เพื่อก่อให้เกิดการโจมตีทางไซเบอร์กักตุนช่องโหว่ หรือแจ้งให้ผู้ขายทราบ^{[ 65 ] [ 17 ] [ 8 ]}แฮกเกอร์บางคนยังขายช่องโหว่ที่พวกเขาค้นพบให้กับกลุ่มอาชญากรอีกด้วย^{[ 66 ]}ในปี 2015 ตลาดสำหรับรัฐบาลและกลุ่มอาชญากรมีขนาดใหญ่กว่าตลาดการให้รางวัลสำหรับการค้นพบช่องโหว่อย่างน้อยสิบเท่า^{[ 65 ]}

• นักล่าค่าหัว
• อุตสาหกรรมอาวุธไซเบอร์
• เช็ครางวัล Knuth (โครงการปี 1980)
• รางวัลสำหรับโอเพนซอร์ส
• หมวกขาว (ความปลอดภัยทางคอมพิวเตอร์)
• เซโรเดียม