[논문 리뷰] Understanding the Heterogeneity of Contributors in Bug Bounty Programs

Hideaki Hata, Mingyu Guo외 1명|arXiv (Cornell University)|2017. 09. 19.

Software Engineering Research참고 문헌 17인용 수 6

한 줄 요약

이 연구는 82개의 프로그램과 2,504명의 기여자 분석을 통해 버그 번异常 프로그램의 기여자 이질성에 대해 조사하며, 인정과 双방향 소통을 중시하는 프로젝트 특정 기여자와 주로 금전적 보상에 동기 부여되는 비특정 기여자라는 두 가지 유형을 밝혀낸다. 주요 기여는 프로그램 설계 및 기여자 유지를 위한 전략 수립에 도움이 되는 기여자 유형 분류 체계이다.

ABSTRACT

Background: While bug bounty programs are not new in software development, an increasing number of companies, as well as open source projects, rely on external parties to perform the security assessment of their software for reward. However, there is relatively little empirical knowledge about the characteristics of bug bounty program contributors. Aim: This paper aims to understand those contributors by highlighting the heterogeneity among them. Method: We analyzed the histories of 82 bug bounty programs and 2,504 distinct bug bounty contributors, and conducted a quantitative and qualitative survey. Results: We found that there are project-specific and non-specific contributors who have different motivations for contributing to the products and organizations. Conclusions: Our findings provide insights to make bug bounty programs better and for further studies of new software development roles.

연구 동기 및 목표

• 버그 번异常 프로그램의 기여자 다양성 특성과 동기를 이해하기 위해.
• 크라우드소싱된 취약점 보고에 점점 더 의존하고 있음에도 불구하고, 기여자 이질성에 관한 실증적 지식의 부족을 해결하기 위해.
• 구분되는 기여자 유형과 프로그램 관리 및 소프트웨어 보안 생태계 지속 가능성에 대한 영향을 규명하기 위해.
• 프로그램 관리자들이 숙련된 기여자를 유지하고 인센티브 구조를 개선하기 위한 실질적인 통찰을 제공하기 위해.

제안 방법

• 82개의 공개된 버그 번异常 프로그램에서 기여 기록을 수집하고 분석하여, 총 2,504명의 기여자에 초점을 맞췄다.
• 기여 패턴의 정량적 분석과 7명의 기여자로부터 확득한 정성적 설문 응답을 융합한 혼합 방법 접근법을 사용했다.
• 개별 기여자 기여 기록을 정확히 추적하기 위해 기여자 식별자 간 수동 병합을 실시했다.
• 기여 패턴과 동기 기반으로 기여자를 두 유형—프로젝트 특정형 및 비특정형—으로 분류했다.
• 기여자의 동기, 플랫폼 사용 방식, 벤더 기대치를 탐구하기 위해 3명의 기여자와 후속 정성적 인터뷰를 실시했다.
• 주제 분석을 적용하여 설문 및 인터뷰 데이터에서 동기, 소통 선호도, 제3자 플랫폼에 대한 인식을 파악했다.

실험 결과

연구 질문

• RQ1 버그 번异常 프로그램에는 어떤 유형의 기여자가 존재하며, 그들의 기여 패턴은 어떻게 다를까?
• RQ2 프로젝트 특정 기여자와 비특정 기여자 간의 동기는 어떻게 다를까?
• RQ3 기여자들은 벤더로부터의 소통과 인정이 지속적인 참여에 어떤 영향을 미치는지 어떻게 인식하는가?
• RQ4 플랫폼 사용(HackerOne, Bugcrowd 등)은 기여자 행동과 동기에 어떤 영향을 미치는가?

주요 결과

• 두 가지 명확한 기여자 유형이 존재한다: 특정 소프트웨어 프로젝트에 집중하는 프로젝트 특정 기여자와 여러 프로그램에 걸쳐 참여하는 비특정 기여자.
• 프로젝트 특정 기여자는 금전적 보상 외에도 인정과 벤더와의 双방향 소통에 동기 부여된다.
• 비특정 기여자는 주로 HackerOne과 같은 플랫폼을 활용하며, 외재적 인cent라이브와 보상 금액에 의해 주로 동기 부여된다.
• 프로젝트 특정 기여자들은 제3자 플랫폼을 피하는 경향이 있으며, 이는 보안 위험 또는 취약점 공개의 ' 회색 시장'으로 간주하기 때문이다.
• 많은 기여자들이 벤더로부터의 정보 흐름—예를 들어 피드백 및 수정 사례 공유—가 금전적 보상 자체보다 더 가치 있다고 보고했다.
• 플랫폼의 인기에도 불구하고 일부 기여자들은 직접 벤더에게 보고하는 것을 선호하며, 이는 직접 소통 채널의 중요성을 강조한다.