Il crowdsourcing per la caccia ai bug del software è un'attività in forte espansione e rischiosa

George Wylesol

Sono gli Uber del mondo della sicurezza digitale. Invece di abbinare i conducenti indipendenti ai passeggeri, aziende come Bugcrowd e HackerOne mettono in contatto persone a cui piace passare il tempo alla ricerca di difetti nel software con aziende disposte a pagarli per i bug che trovano.

Questa gig economy di sicurezza informatica si è estesa a centinaia di migliaia di hacker, molti dei quali hanno avuto una certa esperienza nel settore della sicurezza informatica. Alcuni hanno ancora un lavoro e cacciano insetti nel loro tempo libero, mentre altri si guadagnano da vivere lavorando come freelance. Stanno svolgendo un ruolo essenziale nell'aiutare a rendere il codice più sicuro in un momento in cui gli attacchi sono in rapido aumento e il costo del mantenimento di team di sicurezza interni dedicati è alle stelle.

I migliori osservatori di bug freelance possono guadagnare somme di denaro significative. HackerOne, che ha oltre 200.000 utenti registrati, afferma che circa il 12% delle persone che utilizzano il suo servizio guadagna $ 20.000 o più all'anno e circa il 3% guadagna oltre $ 100.000. Gli hacker che utilizzano queste piattaforme provengono principalmente dagli Stati Uniti e dall'Europa, ma anche dai paesi più poveri dove i soldi che possono guadagnare portano alcuni a lavorare a tempo pieno sulla caccia ai bug. (Per un profilo di un hacker etico freelance con sede nelle Filippine, vedere la nostra serie Jobs of the Future.)

Pulitori di codice

Sempre più grandi aziende come GM, Microsoft e Starbucks stanno ora eseguendo programmi di ricompense di bug che offrono ricompense monetarie a coloro che individuano e segnalano bug nel loro software. Piattaforme come Bugcrowd possono aiutare avvisando la comunità di hacker in merito al lancio di programmi, dando priorità ai bug inviati alle aziende e gestendo cose come i pagamenti.

Richard Rushing, responsabile della sicurezza delle informazioni per il produttore di smartphone Motorola Mobility, afferma che gli piacciono molto le ricerche di bug in crowdsourcing perché significa che molti occhi controllano costantemente il codice e perché i cacciatori freelance segnalano rapidamente i difetti del software per raccogliere taglie prima che lo facciano i rivali.

Storia correlata

Storia correlata L'investigazione informatica indipendente è un percorso professionale realistico, se puoi vivere a buon mercato.

Inoltre, in un momento in cui gli esperti prevedono che 3,5 milioni di posti di lavoro nella sicurezza informatica in tutto il mondo saranno vacanti entro il 2021 perché non ci sono abbastanza lavoratori qualificati, i liberi professionisti possono alleviare parte dello sforzo sui team interni.

Tuttavia, le piattaforme devono affrontare un paio di grandi sfide. Uno è continuare ad ampliare il pool di talentuosi cacciatori di insetti. Un altro è stabilire una maggiore chiarezza legale su quali strumenti e tecniche possono utilizzare in sicurezza gli hacker etici. Tattiche popolari come l'uso di attacchi di iniezione, che comportano l'inserimento di codice in applicazioni software che potrebbero cambiare il modo in cui i programmi vengono eseguiti, potrebbero potenzialmente portare a procedimenti giudiziari ai sensi delle leggi anti-hacking come l'America's Computer Fraud and Abuse Act (CFAA).

Ci sono già stati casi in cui lo hanno fatto ricercatori e giornalisti di sicurezza affrontato una possibile azione legale per scoprire e segnalare vulnerabilità nel codice delle aziende. Basterebbero solo un paio di azioni legali di alto profilo per avere un effetto agghiacciante sul settore.

hacker unito

Per affrontare la sfida dei talenti, le piattaforme di crowdsourcing stanno pubblicando molti più contenuti per aiutare gli hacker a migliorare le proprie competenze e per attirare più persone a lavorare. Bugcrowd ha appena presentato la Bugcrowd University, che offre webinar gratuiti e guide scritte a cose come Burp Suite (sì, questo è davvero il nome), che è uno strumento grafico per testare la sicurezza delle applicazioni web.

La piattaforma sta anche lavorando con esperti hacker etici per aiutarla a individuare e formare liberi professionisti promettenti. Le migliori reclute sono curiose, tenaci e disposte ad adattarsi velocemente. La tecnologia si sta evolvendo così rapidamente che spesso è difficile raggiungerla, spiega Phillip Wylie, il talent spotter di Bugcrowd a Dallas.

HackerOne sta inoltre pubblicando più materiale di formazione e istruisce cacciatori di bug indipendenti, che possono essere personaggi bizzarri e talvolta irritanti, in competenze trasversali come come comunicare in modo più efficace con i dipartimenti IT aziendali.

Copertura aerea legale

Sul fronte legale, le piattaforme stanno spingendo per inserire un linguaggio più sicuro nei contratti che regolano le ricompense dei bug. L'obiettivo, afferma Adam Bacchus di HackerOne, è quello di far capire alle aziende che se gli hacker seguono le regole di ingaggio entro limiti ragionevoli, non finiranno per essere portati in tribunale.

Bugcrowd ha collaborato con Amit Elazari, un ricercatore di sicurezza il cui lavoro ha evidenziato la necessità di un porto sicuro linguistico, per lanciare un'iniziativa denominata rivelare.io per creare un quadro standardizzato per la ricerca e la segnalazione di bug. Ciò fornirebbe un'autorizzazione esplicita per l'utilizzo di tecniche di caccia ai bug che normalmente sarebbero evidenti violazioni delle disposizioni degli statuti anti-hacking.

Si integra una spinta più ampia negli Stati Uniti da gruppi come la Electronic Frontier Foundation per impedire alle aziende di utilizzare leggi come la CFAA per mettere a tacere i ricercatori che trovano gravi difetti e divulgarli in modo responsabile.

Casey Ellis, fondatore e presidente di Bugcrowd, afferma che anche altri paesi, come il Regno Unito e la Germania, hanno leggi anti-hacking rigorose che potrebbero essere utilizzate per ostacolare l'hacking etico.

Tali leggi sono necessarie per impedire agli hacker di ogni tipo di causare scompiglio. La sfida che ci attende è trovare un equilibrio ragionevole tra la protezione degli hacker etici e la protezione delle aziende da quelli canaglia che possono causare danni. Non sarà facile farlo bene, ma data la grave carenza di talenti nel mondo della sicurezza informatica, è un problema che dobbiamo affrontare urgentemente.

Aggiornamento (27 agosto): questo articolo è stato aggiornato per mostrare il ruolo di Amit Elazari nel lancio di disclose.io

nascondere