programa de recompensas por detección de errores

Un programa de recompensas por errores es un acuerdo ofrecido por muchos sitios web, organizaciones y desarrolladores de software mediante el cual las personas pueden recibir reconocimiento y compensación ^{[ 1 ]} por reportar errores , especialmente aquellos relacionados con vulnerabilidades de seguridad . ^{[ 2 ]} Si no se ofrece una recompensa financiera, se denomina programa de divulgación de vulnerabilidades . ^{[ 3 ] [ 4 ]}

Estos programas, que pueden considerarse una forma de pruebas de penetración colaborativas , ^{[ 5 ]} otorgan permiso a individuos no afiliados —llamados cazadores de recompensas por errores, ^{[ 6 ]} hackers éticos o de sombrero blanco ^{[ 7 ]} — para encontrar e informar sobre vulnerabilidades. ^{[ 3 ]} Si los desarrolladores descubren y corrigen errores antes de que el público general tenga conocimiento de ellos, los ciberataques que podrían haberlos explotado ya no son posibles. ^{[ 3 ]}

Los participantes en los programas de recompensas por detección de errores provienen de diversos países, y aunque la principal motivación es la recompensa económica, existen otras razones para participar. Los hackers podrían ganar mucho más dinero vendiendo vulnerabilidades de día cero no divulgadas a intermediarios, empresas de software espía o agencias gubernamentales, en lugar de al proveedor del software. Si buscan vulnerabilidades fuera del alcance de estos programas, podrían enfrentarse a problemas legales en virtud de las leyes de ciberdelincuencia . La magnitud de los programas de recompensas por detección de errores aumentó drásticamente a finales de la década de 2010.

Algunas grandes empresas y organizaciones gestionan y operan sus propios programas de recompensas por errores, entre ellas Microsoft, Facebook, Google, Mozilla , la Unión Europea ^{[ 8 ]} y el gobierno federal de los Estados Unidos [ ^{9 ] .} Otras empresas ofrecen recompensas por errores a través de plataformas como HackerOne .

En 1851, Alfred Charles Hobbs recibió US$20,000 (ajustados por inflación) por abrir una cerradura. ^{[ 10 ]} En 1983, la empresa Hunter & Ready publicó un anuncio con el lema "Consigue un bug si encuentras un bug", ofreciendo recompensar a los hackers que descubrieran bugs en su sistema operativo VRTX con un automóvil Volkswagen Beetle . ^{[ 11 ] [ 12 ]} En 1995, Netscape lanzó su programa de recompensas por bugs para la versión beta de su navegador Netscape Navigator 2.0. ^{[ 10 ] [ 13 ] [ 14 ]} Posteriormente, otras empresas abrieron sus propios programas de recompensas por bugs. Estos se complementaron con plataformas de crowdsourcing que facilitaron a los profesionales la búsqueda de bugs. ^{[ 10 ]}

A pesar del objetivo de los desarrolladores de entregar un producto que funcione completamente según lo previsto, prácticamente todo el software contiene errores. ^{[ 15 ] [ 5 ]} Si un error crea un riesgo de seguridad, se denomina vulnerabilidad , y si el proveedor no lo sabe, se denomina día cero . ^{[ 16 ] [ 17 ]} Las vulnerabilidades varían en su potencial de ser explotadas por actores maliciosos. Algunas no son utilizables en absoluto, mientras que otras pueden usarse para interrumpir el dispositivo con un ataque de denegación de servicio . Las más valiosas permiten al atacante inyectar y ejecutar su propio código, sin que el usuario lo sepa. ^{[ 18 ]} Los daños de un ataque pueden ser graves . ^{[ 19 ]}

Las organizaciones que buscan mejorar la seguridad prueban sus sistemas para ver si pueden ser vulnerados. ^{[ 5 ]} Muchas contratan servicios externos que realizan pruebas de penetración , pero esto no es suficiente para encontrar todas las vulnerabilidades, lo que motiva a algunas empresas a complementar con información de crowdsourcing. ^{[ 3 ]} Muchas empresas son escépticas respecto a los informes de terceros, ^{[ 20 ]} temen que estos programas aumenten la actividad maliciosa, cuesten demasiado dinero o generen informes fraudulentos. Por otra parte, los programas de recompensas por errores pueden ignorarse debido a la confianza en la seguridad de su aplicación o en favor de otras medidas de seguridad. ^{[ 21 ]} Algunos estudios han encontrado que el costo por vulnerabilidad encontrada es mucho menor a través de programas de recompensas que contratando ingenieros de software para buscar vulnerabilidades. ^{[ 20 ]}

El monto de la recompensa ofrecida varía según factores como el tamaño de la empresa, la dificultad de encontrar la vulnerabilidad y la gravedad de sus posibles efectos si se explota. ^{[ 6 ]} Los cazadores de recompensas por errores exitosos a menudo pueden ganar más que los desarrolladores de software . ^{[ 22 ]} Muchos programas de recompensas por errores se centran en aplicaciones web . ^{[ 23 ]}

En agosto de 2013, un estudiante palestino de informática informó sobre una vulnerabilidad que permitía a cualquier persona publicar un vídeo en una cuenta arbitraria de Facebook. Según la comunicación por correo electrónico entre el estudiante y Facebook, intentó informar de la vulnerabilidad mediante el programa de recompensas por errores de Facebook, pero los ingenieros de Facebook no lo entendieron. Posteriormente, explotó la vulnerabilidad utilizando el perfil de Facebook de Mark Zuckerberg , lo que provocó que Facebook se negara a pagarle la recompensa. ^{[ 24 ]}

Facebook comenzó a pagar a los investigadores que encuentran y reportan fallas de seguridad emitiéndoles tarjetas de débito personalizadas con la marca "White Hat" que pueden recargarse con fondos cada vez que los investigadores descubren nuevas fallas. ^{[ 25 ]}

En 2016, Uber sufrió un incidente de seguridad cuando un individuo accedió a la información personal de 57 millones de usuarios de Uber en todo el mundo. Supuestamente, el individuo exigió un rescate de 100 000 dólares para destruir los datos en lugar de publicarlos. En su testimonio ante el Congreso, el CISO de Uber indicó que la empresa verificó que los datos habían sido destruidos antes de pagar los 100 000 dólares. ^{[ 26 ]} El Director de Seguridad de la Información de Uber lamentó no haber revelado el incidente en 2016. Como parte de su respuesta, Uber colaboró ​​con HackerOne para actualizar las políticas de su programa de recompensas por errores (bug bounty) y explicar la investigación y divulgación de vulnerabilidades de buena fe. ^{[ 27 ]}

Yahoo! fue duramente criticado por enviar camisetas de Yahoo! como recompensa a los investigadores de seguridad por encontrar e informar sobre vulnerabilidades de seguridad en Yahoo!. ^{[ 28 ]} Cuando Ecava lanzó el primer programa conocido de recompensas por errores para ICS en 2013, ^{[ 29 ] [ 30 ]} fueron criticados por ofrecer créditos de tienda en lugar de dinero en efectivo, lo que no incentiva a los investigadores de seguridad. ^{[ 31 ]} Ecava explicó que el programa estaba destinado a ser inicialmente restrictivo y se centraba en la perspectiva de seguridad humana para los usuarios de IntegraXor SCADA , su software ICS. ^{[ 29 ] [ 30 ]}

Algunos programas de recompensas por detección de errores exigen a los investigadores firmar un acuerdo de confidencialidad para recibir el pago o los beneficios de protección del programa. Esta práctica ha sido criticada por motivos éticos, ya que permite a la empresa ocultar el conocimiento de las vulnerabilidades. ^{[ 32 ] [ 33 ] [ 34 ]}

Debido a que las presentaciones están abiertas a cualquiera, una gran cantidad de informes (estimados en 50-70 por ciento para HackerOne , la plataforma más grande) son inválidos. ^{[ 35 ] [ 36 ]} Un estudio encontró que la mayor cantidad de informes fueron rechazados por vulnerabilidades previamente conocidas, seguidos de falsos positivos , fuera de alcance, duplicados y por falta de prueba de concepto . Otro estudio encontró que los programas de recompensas que ofrecían más dinero recibieron una mayor cantidad de informes válidos. ^{[ 37 ]} Una causa de los informes inválidos es que puede ser más fácil para los hackers enviar un informe que hacer trabajo adicional para verificar su solución. ^{[ 38 ]} Algunas plataformas de recompensas por errores, incluida HackerOne, han implementado medidas para reducir la cantidad de informes inválidos. ^{[ 38 ]} Los programas de recompensas por errores pueden ser solo por invitación para investigadores de seguridad confiables en lugar de públicos. ^{[ 39 ]} Para validar la vulnerabilidad y recibir un premio, el hacker generalmente tiene que crear un exploit para probar que la vulnerabilidad encontrada es un error de seguridad genuino . ^{[ 6 ]} Las vulnerabilidades más comúnmente reportadas en los programas de recompensas por errores incluyen inyección SQL , secuencias de comandos entre sitios (XSS) y fallas de diseño. ^{[ 40 ]}

Los participantes en programas de recompensas por detección de errores provienen de diversos países. En una encuesta realizada a hackers en la plataforma HackerOne , el 19 por ciento indicó residir en Estados Unidos. ^{[ 34 ]} Cualquier persona puede realizar informes, independientemente de su nivel educativo y edad. ^{[ 41 ]} La mayoría de los informes provienen de un número relativamente pequeño de hackers. ^{[ 42 ]} El número de informantes y de informes aumentó drásticamente a finales de la década de 2010. ^{[ 43 ]}

Aunque la motivación más citada de los participantes en programas de recompensas por errores es la recompensa económica por reportar errores, ^{[ 44 ]} otros factores motivadores incluyen el potencial de reconocimiento, el desafío intelectual, el aprendizaje y las oportunidades laborales. ^{[ 45 ] [ 3 ] [ 7 ]} Un estudio de 2017 publicado en el Journal of Cybersecurity encontró que los programas de recompensas por errores más recientes atrajeron a más investigadores, a pesar de que los más antiguos ofrecían mayores recompensas económicas. ^{[ 46 ]}

A partir de 2021La mayoría de las investigaciones cuantitativas sobre programas de recompensas por errores se han centrado en conjuntos de datos de acceso público. No se han publicado investigaciones sobre recompensas por errores en sistemas críticos para la seguridad , que se han conectado cada vez más a Internet. La mayor parte de la investigación existente es cuantitativa y está realizada por expertos en informática, con una falta de perspectivas multidisciplinarias que incorporen los conocimientos de campos como la economía, el derecho y la filosofía. ^{[ 44 ]}

El descubrimiento de vulnerabilidades es similar en muchos aspectos a un ciberataque . Las acciones incluso de hackers bienintencionados pueden infringir las leyes penales promulgadas para enjuiciar a los ciberdelincuentes. La mayoría de los hackers no son expertos en derecho y desconocen la legislación vigente en su jurisdicción. ^{[ 61 ]} Es común que quienes descubren vulnerabilidades reciban amenazas legales tras revelar una vulnerabilidad. ^{[ 62 ]}

Aunque casi todos los programas de recompensas por errores prometen un refugio seguro para los informes que cumplan con sus políticas, ^{[ 61 ]} si la vulnerabilidad descubierta no se incluye en un programa de recompensas por errores previamente establecido, la empresa involucrada podría denunciarla como un ciberataque ilegal. ^{[ 61 ] [ 62 ]} En China, algunos informantes de vulnerabilidades han sido arrestados y procesados, incluidos los líderes de WooYun , la plataforma de informes de vulnerabilidades más antigua y grande del país. ^{[ 61 ]}

Not all companies respond positively to disclosures, as they can cause legal liability and operational overhead. It is not uncommon to receive cease-and-desist letters from software vendors after disclosing a vulnerability for free.^[63] Some individuals who find a previously unknown, zero-day vulnerability do not sell it to the vendor directly or indirectly via a third-party bug bounty program. According to one study, the most commonly cited reasons for not reporting a bug were threatening language on the website, lack of an obvious place to report, and lack of response to earlier bug reports.^[64]

Discoverers can earn more money—more than US$1 million in some cases—by selling the vulnerability to brokers such as Zerodium, spyware companies such as NSO Group, governments, or intelligence agencies. Government agencies may use the vulnerability to cause a cyberattack, stockpile the vulnerability, or notify the vendor.^[65][17][8] Some hackers also sell the vulnerability they found to a criminal group.^[66] In 2015, the markets for government and crime were estimated at at least ten times larger than the bug bounty market.^[65]

• Bounty hunter
• Cyber-arms industry
• Knuth reward check (Program in 1980)
• Open-source bounty
• White hat (computer security)
• Zerodium