信息時代的結局是，“軟件正在吞噬這個世界”。企業競相推出數字代碼和服務，而不以網絡安全為重，即便大家都知道必然會有安全問題和軟件缺陷。在理應安全的組織都遭遇數據失竊和安全事故的時候，企業顯然需要它們能夠獲得的一切幫助。
令人意外的是，軟件巨頭現在鼓勵黑客對它們進行攻擊。谷歌(Google)、微軟(Microsoft)和Facebook等公司自2010年以來一直在這么做——通過所謂的“漏洞獎勵計劃”，或者叫“漏洞懸賞計劃”(bug bounty program)。貌似帶有美國“狂野西部”時代歷史回聲的是，公司向獨立的安全研究員提供一個機會，讓他們通過找到關鍵的安全問題（可能讓我們全都處于風險之中的軟件漏洞）而贏得獎金和認可。
盡管2016年可能被稱作“黑客之年”，包括去年10月份美國發生的拒絕服務攻擊造成互聯網大面積癱瘓事件，但2017年可能是“友好黑客攻擊之年”。硅谷以外的傳統行業推出了更多的“漏洞懸賞計劃”。
萬事達(MasterCard)、強生(Johnson &Johnson)甚至五角大樓都邀請黑客與他們合作，測試系統漏洞。這些組織對發現漏洞的黑客給予獎勵，從而能夠從他們的發現總結收獲，堵住安全漏洞，甚至招聘到一流的網絡安全人才。
這解釋了領先公司為何愿意支付巨額賞金。為其他公司管理許多懸賞計劃的Bugcrowd表示，在過去幾年里，谷歌、Facebook、雅虎(Yahoo)、微軟和Mozilla為友好黑客支付了總計逾1300萬美元的賞金。
對報告漏洞給予獎勵的想法并非什么新鮮事：1995年，網景(Netscape)曾為發現開拓性的Navigator 2.0網頁瀏覽器漏洞的用戶提供獎勵?，F在，數以千計的守法黑客幫助數百家組織找到軟件漏洞，用眾人的力量讓我們大家更安全。獎勵從T恤衫和100萬航空里程不等，蘋果公司(Apple)曾為某些發現提供20萬美元單筆賞金。
為發現漏洞提供獎勵日益獲得廣泛認可，因為他們提供的益處遠遠超過了風險：黑客們從未這么容易地合法向公司報告漏洞，并且不用違法就能獲得回報——不妨稱之為黑客版的“零工經濟”。正如實證經濟研究證明的那樣，這也是相關公司發現安全漏洞的經濟方式。
一些最優秀的漏洞獵手最終獲得了企業全職職位的錄用通知。這些黑客來自世界各地，由于所處位置、獲取高校教育的條件或者資金問題，本來永遠得不到面試機會，使公司錯失他們的卓越天賦。
《伯克利技術法律雜志》(Berkeley Technology Law Journal)指出，企業還能獲得一個益處，那就是漏洞懸賞計劃可以成為一種企業治理的“最佳實踐”機制。實行此類計劃有助于董事們履行其“控管數字資產的責任”。
最后，你可能會問：犯罪分子會不會利用這些計劃呢？真相是，他們很少需要從事黑客活動的動機。他們已經在大搞黑客活動，非法獲取巨額收益。這些計劃讓發現問題的個人做正確的事情，也讓公司有機會解決問題，同時讓報告問題的人獲得合法報酬和認可。該過程代表著駕馭數以千計安全研究員力量的可行方式，他們正在幫助打造我們這個互聯互通時代亟需的“免疫系統”。這給了我希望。
本文作者是特拉維夫大學跨學科網絡研究中心(Tel Aviv University Interdisciplinary Cyber Research Centre)高級研究員，同時也是一名戰略分析師
京公網安備 11010502049343號