10年狂砸4个亿,这个计划真的让软件更安全吗?
创始人
2025-07-07 09:50:33
0

整理 | 如烟

出品 | 51CTO技术栈(微信号:blog51cto)

微软的漏洞赏金计划已经推出十个年头。在这十年时间里,微软累计向安全研究人员支付了 6,300 万美元(折合人民币约 4.5 亿元)奖金,其中有 6,000 万美元是在过去五年中支付的。

微软官方也在庆祝漏洞赏金计划推出十周年的文章提到,自 2013 年成立以来,微软已向来自 70 个国家的数千名安全研究人员提供了超过 6000 万美元的资助。这些研究人员根据协调漏洞披露发现并报告了漏洞,帮助微软应对不断发展的安全威胁形势和新兴技术。  

1、在赏金计划上狠狠“砸钱”

2013年,微软正式启动漏洞赏金计划,专注于 Windows 8.1 和 Internet Explorer 11 中的漏洞。最初,微软每年收到的漏洞报告不到 100 份,只有几十名研究人员参与,每年获得数十万美元的奖励。

 2019 年初,微软改进了赏金计划,增加了对漏洞赏金的投资,将最具影响力报告的奖励金额提高到行业平均水平的 2 至 10 倍。

这一策略在快速扩大赏金计划项目上取得了巨大成功。在 2019 财年,微软赏金报告、计划参与者和奖励数量比上一年增加了一倍多。从 2020 年开始,微软每年向大约 300 名研究人员 提供超过 1300 万美元的资助,而且这一数额还在不断增加。

2020 年 7 月,微软推出了基于场景类别的赏金计划,用于发现对客户隐私和安全构成严重风险的漏洞,这一计划奖金额度更高,最高可达10万美元。微软方面表示,研究人员齐心协力,发现的零点击远程代码执行 (RCE) 或跨租户漏洞的数量同比增加了50%以上。”

如今,微软正在运行 17 个漏洞赏金计划,涵盖Azure、Edge、Microsoft 365、Windows、Xbox 等产品。针对 Hyper-V 虚拟机管理程序中影响较大的漏洞提供高达 25 万美元的奖励。

2、软件真的更安全了吗?

漏洞赏金计划看上去是高效暴露漏洞的万灵丹,但这样做真的能确保软件安全吗?

曾在微软任职 7 年,并致力于推动赏金计划实施的 Katie Moussouris 给出了否定的答案。更讽刺的是,她将此归因于漏洞赏金平台的兴起,以及开发人员把重点放在漏洞披露计划和赏金上,而不是做安全软件开发的工作。

她解释称:“这两项都在投资范围内,赏金是一部分,更重要的是你要真正解决漏洞问题。”

Moussouris 的理念是,必须尽可能多地防止漏洞和修复漏洞,才可以公开漏洞披露或漏洞奖励计划。

除了 Moussouris 提到的开发人员应该关注的工作重点,有调研机构从人性的视角审视了这个问题:如果所谓的道德黑客中有人不那么道德会怎样?如果粗心大意的赏金猎手就是没能报告漏洞会如何?如果没报告的漏洞后续暴露出来可能导致公司无法承担的代价会怎样?

有报告指出,典型的漏洞赏金计划为快速发现漏洞问题提供了激励,这种操作理论上很高产,但并不能抹杀恰当审查的必要性和保障计划覆盖整个攻击界面的重要性。

3、不能只用金钱来评估项目是否成功

为了使软件和硬件产品更加安全,Moussouris 建议形成“具体的反馈循环”,将漏洞奖励学习反馈到组织的安全开发生命周期中。

此外,那些管理奖金的人应该制定“更有意义的指标”来评估他们的项目是否成功,而不仅仅是通过向多少研究人员支付了多少现金来评估。

Moussouris 提出,“我们必须明确建立一个明确的标准,将漏洞赏金计划和安全开发生命周期联系起来。比如通过赏金计划是否减少或消除了各种漏洞?以及修复关键漏洞的平均时间是否减少?如果没有,那么就要根据情况适当分配资源。”

参考链接: 

https://www.theregister.com/2023/11/22/microsofts_bug_bounty_moussouris/

https://msrc.microsoft.com/blog/2023/11/celebrating-ten-years-of-the-microsoft-bug-bounty-program-and-more-than-60m-awarded/

相关内容

热门资讯

如何允许远程连接到MySQL数... [[277004]]【51CTO.com快译】默认情况下,MySQL服务器仅侦听来自localhos...
如何利用交换机和端口设置来管理... 在网络管理中,总是有些人让管理员头疼。下面我们就将介绍一下一个网管员利用交换机以及端口设置等来进行D...
施耐德电气数据中心整体解决方案... 近日,全球能效管理专家施耐德电气正式启动大型体验活动“能效中国行——2012卡车巡展”,作为该活动的...
20个非常棒的扁平设计免费资源 Apple设备的平面图标PSD免费平板UI 平板UI套件24平图标Freen平板UI套件PSD径向平...
德国电信门户网站可实时显示全球... 德国电信周三推出一个门户网站,直观地实时提供其安装在全球各地的传感器网络检测到的网络攻击状况。该网站...
为啥国人偏爱 Mybatis,... 关于 SQL 和 ORM 的争论,永远都不会终止,我也一直在思考这个问题。昨天又跟群里的小伙伴进行...
《非诚勿扰》红人闫凤娇被曝厕所... 【51CTO.com 综合消息360安全专家提醒说,“闫凤娇”、“非诚勿扰”已经被黑客盯上成为了“木...
2012年第四季度互联网状况报... [[71653]]  北京时间4月25日消息,据国外媒体报道,全球知名的云平台公司Akamai Te...