Apple、Facebook、Google、Oneplusによるバグバウンティプログラム

バグバウンティプログラムは、多くの特に著名なウェブサイト、組織、ソフトウェア開発者によって提供される契約であり、個人がバグを報告することで認識され、最も重要なことに、かなりの報酬を受け取ることができます。特に、エクスプロイトや脆弱性に関連するバグが対象です。このプログラムを提供している巨人の中には、Apple、Facebook、Google、Oneplusがあります。

バグバウンティプログラム

Apple

2016年、Appleが提供したバグバウンティプログラムはiOSに限定され、招待制でした。Appleは現在、すべてのセキュリティ研究者にバグバウンティプログラムを開放し、100万ドル以上の報酬を提供しています。このプログラムは一般に公開されており、AppleはiCloud、iPadOS、macOS、tvOS、watchOSがバグバウンティリストに含まれることを発表しました。

魅力的な報酬は、研究者側からの問題の詳細かつ徹底的な説明を求め、Appleが再現できるための十分な詳細を必要とします。支払いは、異なるレベルで発見されたバグによって決定され、特に最新のAppleデバイスやソフトウェアに影響を与える問題は、最高の支払いに該当します。

ソフトウェアのベータ版で見つかったバグは、研究者に標準報酬に加えて50％のボーナスを付与します。その他の潜在的な支払いは、ロック画面のバイパス、ロックされたデバイスからのデータ抽出、無許可のiCloudアクセスに対して行われます。中でも最高の報酬は、ユーザー側からのインタラクションなしでデバイス全体を乗っ取ることができる研究者に与えられます。

Appleのバグバウンティプログラムは少し古くなっていますが、いくつかのテクノロジー企業が最初から一般に公開している新しいプログラムが多数ある中でも、依然として最も魅力的なバグバウンティプログラムの1つです。

こちらを確認

Facebook

Facebookはプライバシーポリシーに関して非常に悪名高く、ニュースでよく取り上げられています。そのため、バグバウンティプログラムは非常に必要とされ、2011年に開始されました。誰でも報告を送信し、企業のシステムを強化する手助けをすることで報酬を受け取ることができます。

Facebookが提供するバウンティプログラムは、業界で最も古く、成熟したものであり、支払い総額は約800万ドルに達しています。データの悪用はFacebookにとって大きな懸念事項であり、Facebookに関連するサードパーティの開発者も同様に scrutinized され、研究者はそれを報告し、適切に報酬を受け取ることができます。

こちらを確認

Google

GoogleのAndroidバグバウンティ報酬プログラムは2015年に導入され、セキュリティ問題を発見し報告する研究者に報酬を提供し、Androidエコシステムを安全に保つ手助けをしています。このプログラムは、Pixelデバイスや最新のAndroidバージョンで発見された脆弱性をカバーしています。

このプログラムで提供される最も魅力的なバウンティは、GoogleのTitan Mチップに関する100万ドルのもので、しかし報酬はまだ請求されていません。なぜなら、バウンティの配分には裁量的な側面があり、特定の条件が付いているからです。バウンティに関するいくつかの要因は、委員会の裁量に加えて、以下の通りです：

• エクスプロイトがどのように機能するかを説明する詳細な説明。
• 初期攻撃ベクトル（すなわち、リモートエクスプロイト対ローカル）。
• エクスプロイトがデバイスまたはビルド固有であるか、広範なビルドとデバイスにわたって機能するか。
• エクスプロイトが機能するために必要なユーザーのインタラクションの量。
• ユーザーがエクスプロイトが進行中または完了していることを実際に検出できるかどうか。
• エクスプロイトの信頼性。
• 特定の開発者プレビュー版のAndroidで見つかったエクスプロイトチェーンは、最大50％の追加報酬ボーナスの対象となります。

Googleはサイバーセキュリティの分野で注目を集めており、2019年だけで150万ドル以上のバグバウンティを支払っています。その中で、最高の報酬支払いは161,337ドルでした。

こちらを確認

OnePlus

OnePlusには、かなりの報酬を提供する2つの異なるバグバウンティプログラムがあります。最初のものはOnePlusセキュリティレスポンスセンターで、プログラムは研究者がOxygen OS内で見つけたセキュリティバグに対して50ドルから7,000ドルの報酬を支払います。バウンティは誰でも参加可能で、OnePlusのバグを発見し、問題を説明するオンラインフォームを提出するだけで、証明概念とバグレポートを提出する必要がありますが、盗作は許可されていません。

2つ目のバウンティプログラムは、HackerOneというセキュリティプラットフォームと提携して運営されています。ここでは、選ばれたHackerOneの研究者のみがプライベートな設定でOnePlus製品の潜在的なセキュリティ脅威をテストします。ただし、プログラムは2020年に一般に公開されると言われています。

OnePlusは、比較的安全で完璧な体験を提供することで評判ですが、OnePlusデバイスでのAndroid 10の展開の失敗を受けて、バグバウンティプログラムは非常に役立ちます。

これらの巨人に加えて、最近では多くの他のテクノロジー企業がバグバウンティプログラムを開始しており、セキュリティの懸念が記録的な高水準にある中で、これにより人々はこれらのテクノロジー企業が作成したシステムの安全性を維持しながら、抜け穴を見つけ出すことで報酬を受け取ることができます。

こちらを確認