[논문 리뷰] Making Markets for Information Security: The Role of Online Platforms in Bug Bounty Programs

Johannes Wachs|arXiv (Cornell University)|2022. 04. 14.

Spam and Phishing Detection인용 수 6

한 줄 요약

이 논문은 HackerOne과 같은 온라인 플랫폼이 버그 배지 프로그램(BBPs)에서 정보 비대칭성과 거래비용을 줄여 정보 보안 분야의 효율적인 시장을 창출하는 방식을 분석한다. 2014~2021년 동안 500개 기업의 125,000건 이상의 공개 취약점 보고서를 포함한 데이터셋을 활용하여, 플랫폼이 신뢰, 전문화, 명성 신호 기반 협업을 가능하게 하여 사이버보안 커뮤니티 기반 시장의 안정성과 효율성을 향상시킨다는 점을 규명한다.

ABSTRACT

Security is an essential cornerstone of functioning digital marketplaces and communities. If users doubt that data shared online will remain secure, they will withdraw from platforms. Even when firms take these risks seriously, security expertise is expensive and vulnerabilities are diverse in nature. Increasingly, firms and governments are turning to bug bounty programs (BBPs) to crowdsource their cybersecurity, in which they pay individuals for reporting vulnerabilities in their systems. And while the use of BBPs has grown significantly in recent years, research on the actors in this market and their incentives remains limited. Using the lens of transaction cost economics, this paper examines the incentives of firms and researchers (sometimes called hackers) participating in BBPs. We study the crucial role that centralized platforms that organize BBPs play in this emerging market. We carry out an analysis of the HackerOne BBP platform, using a novel dataset on over 14,000 researchers reporting over 125,000 public vulnerabilities to over 500 firms from 2014 to the end of 2021. We outline how platforms like HackerOne make a market for information security vulnerabilities by reducing information asymmetries and their associated transaction costs.

연구 동기 및 목표

• 온라인 플랫폼이 정보 보안 취약점에 대한 효율적인 시장을 어떻게 촉진하는지 이해하기 위해.
• 거래비용 경제학(TCE)을 활용하여 기업과 연구자들이 버그 배지 프로그램(BBPs)에서 보이는 인센티브와 행동 양식을 분석하기 위해.
• 중앙집중형 플랫폼이 분산된 취약점 보고 체계에서 정보 비대칭성과 거래비용을 어떻게 줄이는지 조사하기 위해.
• HackerOne과 같은 플랫폼에서 연구자와 기업의 행동이 시간이 지남에 따라 어떻게 변화하는지, 특히 명성 쌓기와 전문화 과정을 포함하여 분석하기 위해.
• 투명성, 명성, 플랫폼 설계가 BBPs에서 참가자 참여와 시장 효율성 향상에 어떤 역할을 하는지 평가하기 위해.

제안 방법

• 2014년부터 2021년까지 HackerOne에서 확보한 신규 데이터셋을 활용해, 500개 기업의 14,000명 이상의 연구자들이 제출한 125,000건 이상의 공개 취약점 보고서에 대한 종단적 분석을 수행하였다.
• 거래비용 경제학(TCE)을 이론적 프레임워크로 활용하여 BBP 시장 내 인센티브, 정보 비대칭성, 기회주의적 행동을 분석하였다.
• 통계적 분석을 통해 연구자 행동, 특히 프로필 연결, 보고서 공개, 기업의 보고 패턴 변화를 시간 경과에 따라 분석하였다.
• 기업의 투명성 변화를 측정하기 위해, 취약점의 조기 공개 여부를 협업 의도를 나타내는 신호로 분석하였다.
• 연구자들이 동일한 기업과 반복적으로 상호작용함으로써 전문화가 이루어지고, 관계 형성이 이루어지고, 시장의 성숙도가 반영됨을 분석하였다.
• 정보 효과 분석: 플랫폼 내 기업의 이전 행동 기록이 신규 연구자가 과거 행동에 기반해 호환성 있는 기업을 보다 잘 선택하도록 돕는 방식으로 정보 효과가 작용함을 탐색하였다.

실험 결과

연구 질문

• RQ1 HackerOne과 같은 온라인 플랫폼은 버그 배지 시장에서 정보 비대칭성과 거래비용을 어떻게 줄이는가?
• RQ2 연구자들이 HackerOne과 같은 플랫폼에서 자신의 프로필을 연결하고 상세한 취약점 보고서를 공개하는 데 어떤 동기가 작용하는가?
• RQ3 기업들은 왜 HackerOne에 등재된 초기 단계에서 취약점을 조기에 공개하는가? 이는 어떤 방식으로 협업 의도를 신호로 나타내는가?
• RQ4 시장의 성숙도는 BBP 플랫폼에서 연구자와 기업의 행동에 어떻게 반영되는가?
• RQ5 플랫폼 기반 명성 시스템과 투명성이 정보 보안 시장의 효율성과 참가자 참여를 얼마나 향상시키는가?

주요 결과

• 연구자들은 취약점 보고서를 공개한 경우에 특히, 자신의 HackerOne 프로필을 외부 신원과 연결할 가능성이 뚜렷이 높아지며, 이는 보고서가 전문성에 대한 신뢰할 수 있는 포트폴리오 역할을 한다는 것을 시사한다.
• 기업들은 HackerOne에 등재된 초기 단계에서 취약점을 조기에 공개할 가능성이 높아지며, 이는 연구자 커뮤니티 전반에 대해 개방성과 협업 의지를 신호하기 위한 전략적 조치로 해석된다.
• 시간이 지남에 따라 연구자들은 점점 더 전문화되며, 동일한 기업과의 상호작용 빈도가 증가함으로써, 시장 내 신뢰 기반의 통합된 관계가 형성되고 있음을 보여준다.
• HackerOne에서의 기업 행동 기록의 역사적 가시성 덕분에 신규 연구자들이 보다 잘 정보를 얻은 결정을 내릴 수 있으며, 이는 정보 효과를 통해 검색 비용을 줄이고 시장 효율성을 향상시킨다.
• 플랫폼의 이점에도 불구하고, 보상의 변동성이 여전히 주요 문제로 남아 있으며, 다른 연구자가 먼저 취약점을 보고할 경우 많은 연구자가 보상을 받지 못함으로써 수익의 안정성과 참여도가 제한된다.
• 이 연구는 HackerOne과 같은 플랫폼이 시장 효율성을 향상시키지만, 기대 수입의 불확실성과 소득 격차 등의 구조적 과제가 BBP 생태계 내에서도 기존의 기술 기반 경제와 유사하게 지속된다는 점을 강조한다.