在Google、Facebook推出漏洞獎勵計劃后，國內(nèi)互聯(lián)網(wǎng)公司也紛紛自建漏洞獎勵平臺，鼓勵安全技術(shù)高手向企業(yè)通報漏洞信息。記者從360公司獲悉，自從360安全漏洞響應(yīng)平臺上線以來，一位名為Mil3s beep的研究人員已經(jīng)獲得超過3.5萬元的現(xiàn)金獎勵。
此前，0day漏洞(從未被公開，也沒有補(bǔ)丁的漏洞)通常在地下“黑市”流通，被黑客用于網(wǎng)絡(luò)犯罪獲利。由于廠商往往在漏洞被攻擊后才有可能發(fā)現(xiàn)漏洞、制作補(bǔ)丁，因此損失也難以避免。據(jù)悉，一些流行軟件和操作系統(tǒng)的漏洞，在“黑市”標(biāo)價往往高達(dá)幾千到數(shù)萬美元不等，而一個iOS漏洞甚至可以被賣到數(shù)十萬美元。
不過隨著Google等公司推出漏洞獎勵計劃以后，大批安全技術(shù)高手開始將這些漏洞報告給廠商以獲取報酬。公開資料顯示，Google、Facebook在過去數(shù)年內(nèi)，漏洞獎勵金額已經(jīng)累計達(dá)到百萬美元以上。就連號稱從不買漏洞的微軟，也在今年推出“藍(lán)帽獎”(BlueHatPrize)，漏洞報告獎金最高可達(dá)25萬美元。同時，在BlackHat、Defcon、SyScan等安全峰會上也經(jīng)常舉辦安全攻防競賽，國際軟件巨頭現(xiàn)場征集漏洞，同樣獎金不菲。
自從2012年后，國內(nèi)推出漏洞獎勵計劃的互聯(lián)網(wǎng)公司也多了起來，包括騰訊、360、百度、京東、網(wǎng)易等，但大多是以禮品作為漏洞獎勵。據(jù)騰訊發(fā)布的《2012年度騰訊“漏洞獎勵計劃”工作報告》顯示，去年騰訊公司共處理了外部反饋的 2288個安全漏洞，為漏洞報告者提供的獎品，加上郵寄費、獎品個稅、人工成本的投入為30萬元人民幣，平均每個漏洞獎勵131元，包括QQ公仔、Q幣等也被騰訊作為獎品。
相比之下，360對漏洞報告者的獎勵以現(xiàn)金為主，部分威脅程度較低的漏洞則以禮品作為獎勵，如鍵鼠套裝、U盤。360安全漏洞響應(yīng)平臺自從2012年5月上線以來，純獎金支出8.94萬元，平均每個漏洞的獎金達(dá)到1314元。
在相對優(yōu)厚的獎勵鼓舞下，360安全漏洞響應(yīng)平臺的活躍度也與日俱增，來自天融信阿爾法實驗室、安全研究機(jī)構(gòu)BinVul、52Pojie論壇等專業(yè)廠商和網(wǎng)站的技術(shù)專家們都是360安全漏洞獎勵平臺致謝名單中的常客，一個人多次獲獎的情況十分常見。以匿名高手Mil3s beep為例，他已經(jīng)獲得3.5萬元漏洞報告獎金。單筆獎金最高的記錄則達(dá)到7500元，由另一位匿名人士oo獲得。
有觀點認(rèn)為，漏洞報告獎勵計劃是對互聯(lián)網(wǎng)安全的有益補(bǔ)充，而高額的現(xiàn)金激勵有助于鼓勵安全研究人員積極尋找漏洞并向企業(yè)報告，而不是販賣給黑市，合理的報酬也是對漏洞報告者工作的尊重。不過相比國外互聯(lián)網(wǎng)巨頭，國內(nèi)公司對漏洞的獎勵額度仍然偏低。最新消息顯示，谷歌已經(jīng)宣布將基礎(chǔ)漏洞獎勵額度從1000美元上調(diào)至5000美元。
