Поиск уязвимостей: пользователи эффективнее экспертов

Ученые Калифорнийского университета в Беркли Мэтью Финифтер, Девдатта Ахейв и Дэвид Вагнер опубликовали исследование, посвященное эффективности различных методов обнаружения уязвимостей программного обеспечения. Основываясь на данных трех лет наблюдений, исследователи пришли к выводу, что практика назначения премий для пользователей за обнаруженные уязвимости программ оказалась не только более действенной, но и более выгодной экономически для разработчиков ПО, чем привлечение в штат квалифицированных специалистов.

Программы вознаграждения пользователей за обнаруженные уязвимости (vulnerability rewards programs - VPRs) активно используются разработчиками браузеров Google Chrome и Mozilla Firefox. За минувшие три года Google выплатил сообщившим о проблемах браузера пользователям 579605 долларов, Mozilla – 570000 долларов. Эти суммы эквивалентны выплатам от 485 до 658 в день. Квалифицированный штатный специалист в сфере разработки ПО и обнаружения уязвимостей обходится американским компаниям примерно в 500 долларов в день с учетом медицинской страховки и других социальных выплат. При этом за три года добровольные помощники Google обнаружили 371 уязвимость браузера Chrome, тогда как штатные специалисты компании сумели отыскать лишь 263. Для Mozilla эти цифры составляют 148 против 48.

Таким образом, ученые из Беркли приходят к выводу, что программы VPR полностью оправдывают себя. Кроме того, исследование констатирует, что широкий круг пользователей неизбежно использует более разнообразные техники поиска уязвимостей, чем несколько штатных специалистов, что также свидетельствует в пользу VPR.

Возможно, публикация этого исследования послужит сигналом для многих крупных компаний, пока не использующих VPR. Впрочем, некоторые из этих компаний уже и сами приходят к осознанию эффективности вознаграждения пользователей за обнаруженные уязвимости. Так, компания Microsoft, впервые в своей истории назначила в этом году приз в 150 тысяч долларов за обнаружение уязвимостей в своем ПО для конкурса хакеров в рамках конференции по кибербезопасности Black Hat. Пожалуй, последний бастионом старых подходов остается лишь Apple, упорно не желающая платить пользователям за обнаруженные уязвимости своего ПО.