باگ بانتی چیست؟ بررسی برنامه‌های شکار باگ در غول‌های تکنولوژی و ایران
فناوری در کنار مزیت‌های فرا‌وان، ریسک‌های متفاوتی را به وجود می‌آورد که بخشی از آن‌ها ریشه در امنیت نرم‌افزار‌ها دارد. به همین دلیل شرکت‌های بزرگ جهان برنامه‌هایی با عنوان شکار باگ یا باگ بانتی تدوین کرده‌اند تا با کمک متخصصان امنیت مستقل از سراسر دنیا، آسیب‌پذیری‌های نرم‌افزاری خود را شناسایی و برطرف کنند. با این حال، به نظر می‌رسد کسب‌وکار‌های ایرانی به اندازه کافی به این موضوع اهمیت نمی‌دهند.
این مقاله به نگارش ایمان صاحبی و مجتبی اغاز است.
امروزه تقریبا تمام شرکت‌های بزرگ برنامه‌هایی برای باگ بانتی دارند که از طریق آن‌ها هزاران کارشناس امنیتی از کشور‌های مختلف می‌توانند مشکلات امنیتی نرم‌افزار‌ها را آشکار سازند. بسیاری از متخصصان امنیت از شکار این باگ‌ها درآمد قابل‌توجه‌ی کسب می‌کنند و به همکاری در این برنامه‌ها استقبال می‌کنند. اما برنامه‌های دقیقا چه هستند؟
باگ بانتی چیست؟
برنامه باگ بانتی طرحی است که شرکت‌ها برای دعوت از محققان و کارشناسان امنیتی مستقل به منظور کشف و گزارش آسیب‌پذیری‌های امنیتی نرم‌افزار‌ها تدوین می‌کنند. متخصصانی که در این برنامه‌ها شرکت می‌کنند و به عنوان هکر کلاه سفید شناخته می‌شوند، کارمند آن شرکت‌ها نیستند و در ازای کشف باگ‌ها معمولا پاداش دریافت می‌کنند.
در طول برنامه‌های شکار باگ، وقتی یک محقق یک آسیب‌پذیری را آشکار کرده و به شرکت گزارش می‌دهد، شرکت مورد نظر آن را بررسی می‌کند و بر اساس سطح خطرناکی آسیب‌پذیری، پاداشی تعیین می‌نماید. با توجه به اینکه کشف باگ‌های حیاتی برای شرکت‌های بزرگ اهمیت فرا‌وانی دارد، برخی از آن‌ها حاضرند ده‌ها و صدها هزار دلار جایزه به محققان مستقل بپردازند. در ادامه نمونه‌هایی از این برنامه‌های بزرگ را مرور می‌کنیم.
برترین برنامه‌های باگ بانتی جهان
گوگل
گوگل به عنوان بزرگ‌ترین موتور جستجوی جهان و توسعه‌دهنده نرم‌افزار‌های محبوب بسیاری، با تعداد زیادی باگ در پروژه‌های خود روبروست و نمی‌تواند تنها به مهندسان خود برای کشف این آسیب‌پذیری‌ها اعتماد کند. به همین منظور، این شرکت برنامه‌ای برای شکار باگ دارد که بین ۱۰۰ تا ۳۱٬۳۳۷ دلار به محققان پاداش می‌پردازد.
مایکروسافت
توسعه‌دهنده ویندوز و یکی از بزرگ‌ترین تولیدکنندگان نرم‌افزار در جهان، از محققان می‌خواهد تا آسیب‌پذیری‌های امنیتی را در سیستم‌های خود کشف و گزارش کنند. این شرکت برای کشف این باگ‌ها تا ۳۰۰ هزار دلار جایزه در نظر گرفته است.
اینتل
اینتل در سال‌های اخیر با آسیب‌پذیری‌های زیادی مواجه شده و چالش‌های امنیتی جدی داشته است. به همین دلیل، آن‌ها برنامه‌ای برای شکار باگ دارند که به متخصصان امنیتی بابت گزارش این آسیب‌پذیری‌ها تا حداکثر ۱۰۰ هزار دلار پاداش می‌دهد.
اپل
ارزشمند‌ترین شرکت جهان مجموعه‌ای از نرم‌افزار‌ها را توسعه داده که معمولا از نظر امنیت در جهان شهرت دارند. با این حال، حتی ایمن‌ترین نرم‌افزار‌ها هم می‌توانند آسیب‌پذیر باشند و اپل از این موضوع آگاه است. به همین جهت، این شرکت نیز برنامه‌ای برای شکار باگ دارد که سقف پاداش ثابتی ندارد و جایزه بر اساس سطح اهمیت باگ‌ها تعیین می‌شود.
تسلا
هیچ‌کس نمی‌تواند نقش تسلا در ایجاد تحولی در بازار خودرو‌های برقی را انکار کند. این شرکت با سیستم‌های پیشرفته و نرم‌افزار‌های متعدد محصولات خود را عرضه می‌کند که آسیب‌پذیری‌های جدی در آن‌ها می‌تواند بسیار خطرناک باشد. به همین دلیل، تسلا به هکر‌های کلاه سفیدی که باگ‌های سیستم‌های این شرکت را کشف کنند تا ۱۵ هزار دلار پاداش می‌دهد.
بزرگ‌ترین پاداش‌های پرداخت‌شده برای باگ بانتی
با وجود سقف‌های اعلامی برای پاداش کشف باگ‌ها توسط شرکت‌ها، غول‌های فناوری بابت کشف آسیب‌پذیری‌های جدی‌تر مبالغ بسیار بزرگ‌تری نیز پرداخت کرده‌اند. برای مثال، گوگل در سال ۲۰۲۲ به یک محقق بابت کشف باگی در سیستم‌عامل اندروید ۶۰۵ هزار دلار پاداش داد. همچنین این شرکت در مجموع در سال ۲۰۲۲ نزدیک به ۱۲ می‌لیون دلار برای برنامه باگ بانتی خود هزینه کرد.
مایکروسافت نیز در سال ۲۰۲۱ مجموعا ۱۳.۷ می‌لیون دلار بابت گزارش آسیب‌پذیری‌ها به شکارچیان باگ پرداخت کرد و بیش‌ترین مبلغ با یک جایزه ۲۰۰ هزار دلاری به یک محقق تعلق داشت.
به طور کلی شرکت‌های بزرگ می‌دانند که با هزینه‌های نسبتا کم در عرصه باگ بانتی، نه تنها می‌توانند امنیت سیستم‌های خود را ارتقا دهند، بلکه از ریسک افشای آسیب‌پذیری‌ها نیز جلوگیری کنند.
وضعیت باگ بانتی در ایران چگونه است؟
شرکت‌های مختلفی در ایران به برنامه‌های باگ بانتی توجه دارند، اما مبالغ اعلامی از سوی آن‌ها چندان قابل‌توجه نیست. گاه و بی‌گاه پست‌هایی در شبکه‌های اجتماعی مبنی بر شکایت فعالان حوزه امنیت از رفتار بد شرکت‌های ایرانی و بدقولی آن‌ها منتشر می‌شود.
اسنپ یکی از شرکت‌هایی است که برنامه باگ بانتی دارد و از متخصصان نفوذ دعوت کرده تا از وجود آسیب‌پذیری‌ها آگاه شوند. اسنپ برای بخش ماشین و اسنپ‌باکس تا ۱۵۰ می‌لیون تومان و بر اساس سطح اهمیت آسیب‌پذیری، پاداش باگ بانتی تعیین کرده است. قطعا فعالان حوزه امنیت معتقدند که عبارت تا در مبلغ جایزه به گونه‌ای تدوین شده که این شرکت گاهی مبالغ بسیار کمتری را بابت کشف آسیب‌پذیری ارائه دهد.
حداقل سقف باگ بانتی برای اسنپ‌فود، اسنپ‌مارکت، اسنپ‌لاین، اسنپ‌پی، اسنپ‌شاپ و اسنپ‌اکسپرس نیز ۷.۵ می‌لیون تومان اعلام شده است. مشخص نیست چرا نام سرویس‌های دیگر اسنپ مانند اسنپ دکتر در این فهرست وجود ندارد.
ابر آروان از دیگر شرکت‌های ایرانی است که مسابقه کشف باگ برگزار می‌کند. سقف جوایز تعیین‌شده توسط این شرکت نیز تا ۳۰۰ می‌لیون تومان است.
برخی از کسب‌وکار‌ها نیز به صورت غیر‌مستقیم برنامه‌هایی برای پرداخت پاداش در ازای کشف و گزارش باگ دارند. پلتفرم‌های باگ بانتی راورو، کلاه سفید و باگدشت پلی بین متخصصان امنیت و کسب‌وکار‌ها هستند. شرکت‌ها گاه و بی‌گاه یا به صورت دائمی از طریق این پلتفرم‌ها، امنیت سیستم‌های خود را به چالش می‌کشند و در ازای کشف باگ، جوایزی را پرداخت می‌کنند.
به عنوان مثال تپسی تا ۳۰ می‌لیون تومان جایزه برای کشف آسیب‌پذیری از طریق این پلتفرم‌ها تعیین کرده است. علی‌بابا، مایکت، جاباما، اتاقک، همراه کارت، ایرانسل، فلایتیو، شاتل، ایوند، رایتل، نماوا، مایکت و چند سازمان دولتی ایران از جمله شرکت‌هایی هستند که با همکاری با پلتفرم‌های واسط، باگ بانتی تدوین کرده‌اند. برخی از شرکت‌ها نیز در این پلتفرم‌ها حضور دارند، اما ترجیح داده‌اند نامشان محفوظ بماند و مسابقه کشف باگ آن‌ها بدون ذکر عمومی نام نمایش داده شود.
آیا باگ بانتی در ایران پذیرفته شده است؟
یاشار شاهین‌زاده، مشاور امنیت، در پاسخ به این سوال دیجیاتو که باگ بانتی چقدر برای شرکت‌های ایرانی پذیرفته شده است، گفت اگر به صورت کلی نگاه کنیم، این موضوع پذیرفته‌شده نیست. نسبت پذیرش باگ بانتی از سوی استارتاپ‌ها به کل استارتاپ‌ها به سمت صفر میل می‌کند. هیچ تفاوتی بین مجموعه‌های دولتی و استارتاپی وجود ندارد و حتی دولتی‌ها وضع بدتری در این عرصه دارند.
به گفته وی، باگ بانتی در بین شرکت‌های بزرگ نظیر کافه بازار، اسنپ، تپسی و آروان پذیرفته‌شده‌تر است؛ اگرچه فاصله معناداری بین آنچه در جهان وجود دارد با ایران وجود دارد هدف باگ بانتی در جهان این است که هکر‌ها با شما دوستانه رفتار کنند و آسیب‌پذیری‌ها را گزارش دهند و این تعریف در جهان با ایران فاصله زیادی دارد. حس می‌کنم این موضوع در ایران بیش‌تر به این خاطر مطرح می‌شود که فردا روزی بگویند در این عرصه کوتاه‌ی نکرده‌اند.
شاهین‌زاده در پاسخ به این سوال که چرا باگ بانتی شرکت‌های ایرانی برای هکر‌ها جذاب نیست، دو دلیل را بیان کرد
دلیل اول این است که شرکت‌ها پول بسیار کمتری می‌پردازند. برای مثال یک آسیب‌پذیری حیاتی کشف می‌کنید و حداکثر ۵۰۰ دلار پرداخت می‌کنند، در حالی که اگر همین آسیب‌پذیری را در یک برنامه خارجی کشف کنید، ۱۰ هزار دلار دریافت می‌کنید. به همین دلیل افراد کمتر تمایل دارند روی باگ بانتی‌های ایرانی کار کنند. دلیل دوم نیز تنوع و تعداد کم شرکت‌های فعال در این حوزه است، در حالی که در جهان یک اقیانوس پر از ماهی وجود دارد. در پی این دو عامل، هکر با کیفیت روی موضوعات داخلی کار نمی‌کند و به سراغ موارد بین‌المللی می‌رود.
<figcaption class="wp-element-caption"یاشار شاهینزادهاین باور وجود دارد که باگ بانتی برای ارتقای امنیت کافی است، موضوعی که این متخصص امنیت کاملا با آن موافق نیست. او با تأکید بر اینکه باگ بانتی در آغاز فعالیت نباید اصلا مطرح شود، اظهار داشت اول باید یک تیم امنیت در سازمان راه‌اندازی شود تا وقتی که توسعه‌دهندگان در حال کد‌نویسی هستند، تیم امنیت بر آن‌ها نظارت کند. سپس این تیم رشد می‌کند و تست‌های امنیتی سامانه‌ها را انجام دهد، سپس شبکه را امن کند. اولویت با تست نفوذ است، هکر وب زیاد و هکر شبکه کم است، پس اول وب را ایمن می‌کنند سپس به سراغ شبکه می‌روند.
به عقیده وی این مراحل اول باید طی شود، سپس باگ بانتی از سوی شرکت تعیین گردد اینطور نیست که از اول ماجرا باگ بانتی بگذارند، چرا که تضمین امنیت نیست.
شاهین‌زاده معتقد است باگ بانتی همانند یک وتین است که نشان می‌دهد کسب‌وکار به موضوع امنیت اهمیت می‌دهد و تنها ادعا نمی‌کند با باگ بانتی علاوه بر اینکه امنیت افزایش می‌یابد، یک وجهه از کسب‌وکار به نمایش گذاشته می‌شود که برای امنیت اهمیت قائل است.
او در این ارتباط تیم امنیتی گوگل را مثال زد که از افراد حرفه‌ای تشکیل شده است، با وجود این شرکت در سال گذشته بیش از یک می‌لیون دلار پاداش باگ بانتی پرداخت کرده است. به باور این متخصص امنیت، باگ بانتی و تیم امنیت یک شرکت در تضاد با یکدیگر نیستند، بلکه یکدیگر را تکمیل می‌کنند ابتدا باید شاکله امنیت شکل بگیرد، سپس باگ بانتی اجرا شود.
هکر‌های کلاه سفید ایرانی انگیزه‌ای برای فعالیت روی نمونه‌های داخلی ندارند
وحید فرید، فعال حوزه تکنولوژی، در گفتگو با دیجیاتو اظهار داشت در حوزه امنیت موارد زیادی وجود دارد که نیاز است روی آن‌ها کار شود. او تأکید کرد فردی که نرم‌افزار را می‌نویسد باید با مفاهیم امنیتی آشنایی داشته باشد و اپلیکیشن به نظر فرد نفوذی تست گرفته شود و آسیب‌های شناخته‌شده در کل فرآیند شناسایی و برای آن راه‌حل ارائه گردد
سپس از این به مفهوم باگ بانتی می‌رسیم؛ به این ترتیب که یک هکر کلاه سفید کاری را که یک هکر کلاه سیاه پیش‌بینی می‌کند انجام دهد را انجام می‌دهد و جایزه می‌گیرد. این هکر قصد سرقت اطلاعات را ندارد بلکه در پایان فرآیند جایزه دریافت می‌کند.
فرید با اشاره به اینکه باگ بانتی یک مفهوم جهانی است و هکر‌های ایرانی می‌توانند روی نمونه‌های خارجی وقت بگذارند و درآمد بیش‌تری کسب کنند، اظهار داشت اختلاف مبلغ جایزه برای هکر‌های کلاه سفید در داخل و خارج به حدی زیاد است که هکر کلاه سفید ایرانی اصلا انگیزه‌ای برای فعالیت روی نمونه‌های داخلی ندارد.
او در این باره مثال زد که پرداختی برای یک آسیب‌پذیری حیاتی روی یک پلتفرم متوسط بین‌المللی در رنج ده تا بیست هزار دلار است، در حالی که تپسی مبلغ هفت می‌لیون تومان برای این موضوع تعیین کرده است البته باز هم این مبلغ خوب است. در برخی موارد نوع برخورد به شکلی است که جامعه هکری ایران به این نتیجه رسیده که برای نمونه‌های ایرانی وقت نگذارند چون در نهایت به جای پرداخت پول، تهدید هم می‌کنند و موضوع را به باج‌گیری متصل می‌کنند. در حالی که حق هکر است که جایزه بگیرد و ماموریت پلتفرم است که این مشکلات را شناسایی کند.
این فعال حوزه تکنولوژی معتقد است یک هکر ممکن است هفته‌ها برای آسیب‌شناسی وقت بگذارد، اما این مبالغ داخلی چیزی نیستند که ارزش وقت‌گذاشتن را داشته باشند
در کل جامعه آی‌تی تصمیم بر این است که برای پلتفرم‌های داخلی وقت نگذارند و دچار شکایت و مسائل این چنینی نشوند چون پول نمی‌دهند و نام هکر هم در لیستی قرار می‌گیرد که در نهایت نهاد‌های امنیتی روی فرد حساس می‌شوند و به خاطر شکایت پلتفرم، نام او به پلیس فتا می‌رود. پس هکر‌ها روی سایت‌های خارجی وقت می‌گذارند و در نهایت پول دلاری هم می‌گیرند.
به باور او وقتی هکر کلاه سفید روی سایت وقت نگذارد، امکان وجود آسیب‌پذیری نامشخص و خطرناک وجود دارد که زیاد هم تقصیر برنامه‌نویس نیست بالاخره ممکن است جایی از یک افزونه یا فریمورکی استفاده کرده باشد که یک آسیب‌پذیری داشته است. اما بالاخره فهمیدن این نقطه آسیب‌پذیری هزینه دارد.
وقتی قانونی برای حفاظت از داده‌های مردم وجود نداشته باشد و کسب‌وکار‌ها دغدغه هزینه‌های احتمالی هک نباشند، به جز مسائل اخلاقی و برندینگ، دلیلی نیز وجود ندارد که برای امنیت خود مبلغ باگ بانتی بالا‌تری پرداخت کنند. از نظر دیگر، فیل‌ترینگ، تحریم‌ها، تورم و شرایط بد اقتصادی سختی مضاعفی بر کسب‌وکار‌های ایرانی می‌آورد تا نتوانند در پرداخت دلاری بابت آسیب‌پذیری‌های امنیتی با شرکت‌های بین‌المللی رقابت کنند.
