برنامج مكافآت اكتشاف الثغرات

برنامج مكافآت اكتشاف الثغرات هو اتفاقية تقدمها العديد من المواقع الإلكترونية والمنظمات ومطوري البرامج، حيث يحصل الأفراد بموجبها على تقدير ومكافأة مالية ^{[ 1 ]} مقابل الإبلاغ عن الثغرات ، وخاصة تلك المتعلقة بالثغرات الأمنية . ^{[ 2 ]} وإذا لم تُقدم مكافأة مالية، يُطلق عليه برنامج الكشف عن الثغرات . ^{[ 3 ] [ 4 ]}

تُعتبر هذه البرامج، التي يمكن اعتبارها شكلاً من أشكال اختبار الاختراق الجماعي ، ^{[ 5 ]} إذ تمنح الإذن لأفراد غير تابعين لها - يُطلق عليهم صائدو الثغرات، ^{[ 6 ]} أو القراصنة الأخلاقيون ^{[ 7 ]} - باكتشاف الثغرات الأمنية والإبلاغ عنها. ^{[ 3 ]} إذا اكتشف المطورون الثغرات وقاموا بإصلاحها قبل أن يعلم بها عامة الناس، فإن الهجمات الإلكترونية التي كان من الممكن أن تستغلها تصبح غير ممكنة. ^{[ 3 ]}

يأتي المشاركون في برامج مكافآت اكتشاف الثغرات الأمنية من دولٍ مختلفة، ورغم أن الدافع الرئيسي هو المكافأة المالية، إلا أن هناك دوافع أخرى عديدة للمشاركة. فبإمكان المخترقين جني أموالٍ طائلة مقابل بيع ثغرات أمنية غير مُعلنة ( ثغرات اليوم الصفر) إلى سماسرة أو شركات برامج تجسس أو جهات حكومية، بدلاً من بيعها لمورّد البرامج. وإذا بحثوا عن ثغرات خارج نطاق برامج مكافآت اكتشاف الثغرات، فقد يواجهون تهديدات قانونية بموجب قوانين الجرائم الإلكترونية . وقد ازداد نطاق هذه البرامج بشكلٍ كبير في أواخر العقد الثاني من الألفية.

تدير بعض الشركات والمؤسسات الكبيرة برامجها الخاصة بمكافآت اكتشاف الثغرات الأمنية، بما في ذلك مايكروسوفت، وفيسبوك، وجوجل، وموزيلا ، والاتحاد الأوروبي ، ^{[ 8 ]} والحكومة الفيدرالية الأمريكية . ^{[ 9 ]} بينما تقدم شركات أخرى مكافآت اكتشاف الثغرات الأمنية عبر منصات مثل HackerOne .

في عام 1851، تقاضى ألفريد تشارلز هوبز 20,000 دولار أمريكي (معدلة حسب التضخم) مقابل فتح قفل. ^{[ 10 ]} وفي عام 1983، نشرت شركة هانتر آند ريدي إعلانًا بشعار "احصل على مكافأة إذا وجدت ثغرة"، عارضةً مكافأة المخترقين الذين يكتشفون ثغرات في نظام التشغيل VRTX بسيارة فولكس فاجن بيتل . ^{[ 11 ] [ 12 ]} وفي عام 1995، أطلقت نتسكيب برنامج مكافآت اكتشاف الثغرات، للنسخة التجريبية من متصفح نتسكيب نافيجاتور 2.0. ^{[ 10 ] [ 13 ] [ 14 ]} وفي وقت لاحق، أطلقت شركات أخرى برامجها الخاصة لمكافآت اكتشاف الثغرات. وقد تم دعم هذه البرامج بمنصات التعهيد الجماعي التي سهّلت على المحترفين العثور على مكافآت اكتشاف الثغرات. ^{[ 10 ]}

على الرغم من سعي المطورين لتقديم منتج يعمل بكفاءة تامة كما هو مُصمم له، إلا أن جميع البرامج تقريبًا تحتوي على أخطاء برمجية. ^{[ 15 ] [ 5 ]} يُطلق على الخطأ البرمجي الذي يُشكل خطرًا أمنيًا اسم ثغرة أمنية ، وإذا لم يكن المُصنِّع على دراية به، يُطلق عليه اسم ثغرة يوم الصفر . ^{[ 16 ] [ 17 ]} تختلف الثغرات الأمنية في مدى إمكانية استغلالها من قِبل جهات خبيثة. بعضها غير قابل للاستخدام على الإطلاق، بينما يُمكن استخدام البعض الآخر لتعطيل الجهاز بهجوم حجب الخدمة . أما الثغرات الأكثر خطورة فتسمح للمهاجم بحقن وتشغيل برمجياته الخاصة دون علم المستخدم. ^{[ 18 ]} قد تكون أضرار الهجوم وخيمة . ^{[ 19 ]}

تسعى المؤسسات إلى تحسين أمن أنظمتها من خلال اختبارها للتأكد من عدم وجود ثغرات أمنية. ^{[ 5 ]} يتعاقد العديد منها مع جهات خارجية لإجراء اختبارات الاختراق ، إلا أن هذا لا يكفي لاكتشاف جميع الثغرات، مما يدفع بعض الشركات إلى الاستعانة بمعلومات من مصادر متعددة. ^{[ 3 ]} تشكك العديد من الشركات في تقارير الجهات الخارجية، ^{[ 20 ]} خشية أن تؤدي هذه البرامج إلى زيادة الأنشطة الخبيثة، أو ارتفاع التكاليف، أو تقديم تقارير احتيالية. في المقابل، قد يتم تجاهل برامج مكافآت اكتشاف الثغرات الأمنية إما لثقة الشركات في أمان تطبيقاتها أو لتفضيل تدابير أمنية أخرى. ^{[ 21 ]} وقد وجدت بعض الدراسات أن تكلفة اكتشاف كل ثغرة أمنية أقل بكثير عبر برامج المكافآت مقارنةً بتوظيف مهندسي برمجيات للبحث عن الثغرات. ^{[ 20 ]}

يختلف حجم المكافأة المقدمة بناءً على عوامل مثل حجم الشركة، وصعوبة اكتشاف الثغرة الأمنية، ومدى خطورة آثارها في حال استغلالها. ^{[ 6 ]} غالبًا ما يحقق مكتشفو الثغرات الأمنية الناجحون أرباحًا تفوق ما يحققه مطورو البرامج . ^{[ 22 ]} تركز العديد من برامج مكافآت اكتشاف الثغرات الأمنية على تطبيقات الويب . ^{[ 23 ]}

في أغسطس/آب 2013، أبلغ طالب فلسطيني متخصص في علوم الحاسوب عن ثغرة أمنية تسمح لأي شخص بنشر مقطع فيديو على أي حساب فيسبوك. ووفقًا لمراسلات البريد الإلكتروني بين الطالب وفيسبوك، فقد حاول الإبلاغ عن الثغرة باستخدام برنامج مكافآت اكتشاف الثغرات التابع لفيسبوك، إلا أن مهندسي فيسبوك أساءوا فهمه. لاحقًا، استغل الطالب الثغرة باستخدام حساب مارك زوكربيرج على فيسبوك ، مما أدى إلى رفض فيسبوك دفع المكافأة له. ^{[ 24 ]}

بدأت شركة فيسبوك بدفع مكافآت للباحثين الذين يكتشفون ويبلغون عن الثغرات الأمنية من خلال إصدار بطاقات خصم تحمل علامة "القبعة البيضاء" التجارية، والتي يمكن إعادة شحنها بالأموال في كل مرة يكتشف فيها الباحثون ثغرات جديدة. ^{[ 25 ]}

في عام 2016، تعرضت شركة أوبر لحادثة أمنية عندما تمكن شخص ما من الوصول إلى المعلومات الشخصية لـ 57 مليون مستخدم حول العالم. يُزعم أن هذا الشخص طالب بفدية قدرها 100 ألف دولار مقابل إتلاف البيانات بدلاً من نشرها. وفي شهادته أمام الكونغرس، أشار مسؤول أمن المعلومات في أوبر إلى أن الشركة تحققت من إتلاف البيانات قبل دفع المبلغ. ^{[ 26 ]} وأعرب مسؤول أمن المعلومات في أوبر عن أسفه لعدم الكشف عن الحادثة في عام 2016. وكجزء من استجابتها، تعاونت أوبر مع هاكر وان لتحديث سياسات برنامج مكافآت اكتشاف الثغرات الأمنية، لتوضيح أهمية البحث عن الثغرات والإفصاح عنها بحسن نية. ^{[ 27 ]}

تعرضت ياهو! لانتقادات شديدة لإرسالها قمصانًا تحمل شعارها كمكافأة لباحثي الأمن الذين اكتشفوا ثغرات أمنية في ياهو! وأبلغوا عنها. ^{[ 28 ]} وعندما أطلقت شركة إيكافا أول برنامج معروف لمكافآت اكتشاف الثغرات في أنظمة التحكم الصناعية (ICS) عام 2013، ^{[ 29 ] [ 30 ]} وُجهت إليها انتقادات لتقديمها رصيدًا في المتجر بدلًا من النقد، وهو ما لا يحفز باحثي الأمن. ^{[ 31 ]} وأوضحت إيكافا أن البرنامج كان يهدف في البداية إلى أن يكون محدودًا ويركز على سلامة المستخدمين، وتحديدًا مستخدمي برنامج IntegraXor SCADA ، وهو برنامج أنظمة التحكم الصناعية الخاص بها. ^{[ 29 ] [ 30 ]}

تتطلب بعض برامج مكافآت اكتشاف الثغرات من الباحثين توقيع اتفاقية عدم إفصاح مقابل الحصول على أجر أو مزايا الحماية القانونية من البرنامج. وقد وُجهت انتقادات لهذه الممارسة لأسباب أخلاقية، إذ تُتيح للشركة إخفاء معلومات عن الثغرات الأمنية. ^{[ 32 ] [ 33 ] [ 34 ]}

نظرًا لأن تقديم التقارير متاح للجميع، فإن نسبة كبيرة منها (تُقدّر بنحو 50-70% في منصة HackerOne ، وهي الأكبر) غير صالحة. ^{[ 35 ] [ 36 ]} وجدت إحدى الدراسات أن معظم التقارير رُفضت باعتبارها ثغرات معروفة مسبقًا، تليها التقارير الإيجابية الخاطئة ، والتقارير الخارجة عن نطاق البحث، والتقارير المكررة، والتقارير التي تفتقر إلى دليل على المفهوم . ووجدت دراسة أخرى أن برامج مكافآت اكتشاف الثغرات التي تقدم مبالغ مالية أكبر تتلقى عددًا أكبر من التقارير الصالحة. ^{[ 37 ]} أحد أسباب التقارير غير الصالحة هو سهولة تقديم التقارير بالنسبة للمخترقين بدلًا من بذل جهد إضافي للتحقق من حلولهم. ^{[ 38 ]} وقد اتخذت بعض منصات مكافآت اكتشاف الثغرات، بما في ذلك HackerOne، إجراءات للحد من عدد التقارير غير الصالحة. ^{[ 38 ]} وقد تقتصر برامج مكافآت اكتشاف الثغرات على دعوة باحثي الأمن الموثوق بهم بدلًا من أن تكون متاحة للعامة. ^{[ 39 ]} وللتحقق من صحة الثغرة والحصول على مكافأة، يتعين على المخترق عادةً إنشاء برنامج استغلال لإثبات أن الثغرة المكتشفة هي ثغرة أمنية حقيقية . ^{[ 6 ]} تشمل الثغرات الأمنية الأكثر شيوعًا التي يتم الإبلاغ عنها في برامج مكافآت اكتشاف الأخطاء حقن SQL ، والبرمجة النصية عبر المواقع (XSS)، وعيوب التصميم. ^{[ 40 ]}

يأتي المشاركون في برامج مكافآت اكتشاف الثغرات الأمنية من دولٍ مختلفة. في استطلاعٍ أُجري بين المخترقين على منصة HackerOne ، أفاد 19% منهم بأنهم من الولايات المتحدة. ^{[ 34 ]} يُمكن لأي شخص تقديم بلاغات، بغض النظر عن خلفيته التعليمية أو عمره. ^{[ 41 ]} تأتي غالبية البلاغات من عددٍ قليل نسبيًا من المخترقين. ^{[ 42 ]} وقد ازداد عدد المُبلّغين والبلاغات بشكلٍ ملحوظ في أواخر العقد الثاني من الألفية الثانية. ^{[ 43 ]}

على الرغم من أن الدافع الأكثر شيوعًا لدى المشاركين في برامج مكافآت اكتشاف الثغرات هو المكافأة المالية مقابل الإبلاغ عنها، ^{[ 44 ]} إلا أن هناك عوامل تحفيزية أخرى تشمل إمكانية التقدير، والتحدي الفكري، والتعلم، وفرص العمل. ^{[ 45 ] [ 3 ] [ 7 ]} وقد وجدت دراسة نُشرت عام 2017 في مجلة الأمن السيبراني أن برامج مكافآت اكتشاف الثغرات الأحدث استقطبت عددًا أكبر من الباحثين، على الرغم من أن البرامج الأقدم كانت تقدم مكافآت مالية أعلى. ^{[ 46 ]}

اعتبارًا من عام 2021ركزت معظم الأبحاث الكمية حول برامج مكافآت اكتشاف الثغرات الأمنية على مجموعات البيانات المتاحة للعموم. ولم تُنشر أبحاث حول مكافآت اكتشاف الثغرات الأمنية في الأنظمة الحساسة للسلامة ، والتي أصبحت متصلة بشكل متزايد بالإنترنت. معظم الأبحاث الموجودة كمية، وقد أعدّها خبراء في علوم الحاسوب، مع افتقارها إلى منظورات متعددة التخصصات تُدمج رؤى مجالات مثل الاقتصاد والقانون والفلسفة. ^{[ 44 ]}

يتشابه اكتشاف الثغرات الأمنية مع الهجمات الإلكترونية في جوانب عديدة . وقد تُخالف تصرفات حتى المخترقين ذوي النوايا الحسنة القوانين الجنائية المُطبقة لمقاضاة مجرمي الإنترنت. ولا يمتلك معظم المخترقين خبرة قانونية، كما يفتقرون إلى معرفة القانون في نطاق اختصاصهم. ^{[ 61 ]} ومن الشائع أن يتلقى مكتشفو الثغرات الأمنية تهديدات قانونية بعد الكشف عنها. ^{[ 62 ]}

على الرغم من أن جميع برامج مكافآت اكتشاف الثغرات تقريبًا تعد بحماية التقارير المتوافقة مع سياساتها، ^{[ 61 ]} إلا أنه إذا لم تندرج الثغرة المكتشفة ضمن برنامج مكافآت اكتشاف الثغرات القائم، فقد تقوم الشركة المعنية بالإبلاغ عنها باعتبارها هجومًا إلكترونيًا غير قانوني. ^{[ 61 ] [ 62 ]} في الصين، تم اعتقال بعض المبلغين عن الثغرات ومحاكمتهم، بمن فيهم قادة منصة WooYun ، وهي أقدم وأكبر منصة للإبلاغ عن الثغرات في البلاد. ^{[ 61 ]}

لا تستجيب جميع الشركات بشكل إيجابي للإفصاحات، إذ قد تُسبب مسؤولية قانونية وتكاليف تشغيلية إضافية. ومن الشائع تلقي رسائل إنذار من موردي البرامج بعد الكشف عن ثغرة أمنية مجانًا. ^{[ 63 ]} بعض الأفراد الذين يكتشفون ثغرة أمنية غير معروفة سابقًا، أو ما يُعرف بثغرة اليوم الصفر ، لا يبيعونها للمورد بشكل مباشر أو غير مباشر عبر برامج مكافآت اكتشاف الثغرات. ووفقًا لإحدى الدراسات، فإن أكثر الأسباب شيوعًا لعدم الإبلاغ عن ثغرة أمنية هي استخدام لغة تهديدية على الموقع الإلكتروني، وعدم وجود جهة واضحة للإبلاغ، وعدم تلقي رد على تقارير الثغرات السابقة. ^{[ 64 ]}

يمكن لمكتشفي الثغرات الأمنية جني أموال طائلة، تتجاوز مليون دولار أمريكي في بعض الحالات، عن طريق بيع هذه الثغرات لوسطاء مثل Zerodium ، وشركات برامج التجسس مثل NSO Group ، والحكومات، ووكالات الاستخبارات. وقد تستخدم الجهات الحكومية هذه الثغرات لشن هجمات إلكترونية ، أو لتخزينها، أو لإبلاغ البائع. ^{[ 65 ] [ 17 ] [ 8 ]} كما يبيع بعض المخترقين الثغرات التي عثروا عليها لجماعات إجرامية. ^{[ 66 ]} وفي عام 2015، قُدِّر حجم سوق الثغرات الحكومية والإجرامية بما لا يقل عن عشرة أضعاف حجم سوق مكافآت اكتشاف الثغرات. ^{[ 65 ]}

• صائد جوائز
• صناعة الأسلحة السيبرانية
• شيك مكافأة كنوت (برنامج عام 1980)
• مكافآت المصادر المفتوحة
• القبعة البيضاء (أمن الحاسوب)
• زيروديوم