[论文解读] A Bug Bounty Perspective on the Disclosure of Web Vulnerabilities

Jukka Ruohonen, Luca Allodi|arXiv (Cornell University)|May 24, 2018

Advanced Malware Detection Techniques参考文献 66被引用 11

一句话总结

本文分析了2015年至2017年期间在单边开放漏洞赏金（OBB）平台上的漏洞披露情况，基于近160,000个网络漏洞的数据集。研究发现，尽管OBB能够迅速传播漏洞且无需经济激励，但少数高产黑客主导了提交工作，且尽管评估速度很快，修补时间依然很长，揭示了由自动化工具驱动以及厂商间学习有限所导致的生产力与知识鸿沟。

ABSTRACT

Bug bounties have become increasingly popular in recent years. This paper discusses bug bounties by framing these theoretically against so-called platform economy. Empirically the interest is on the disclosure of web vulnerabilities through the Open Bug Bounty (OBB) platform between 2015 and late 2017. According to the empirical results based on a dataset covering nearly 160 thousand web vulnerabilities, (i) OBB has been successful as a community-based platform for the dissemination of web vulnerabilities. The platform has also attracted many productive hackers, (ii) but there exists a large productivity gap, which likely relates to (iii) a knowledge gap and the use of automated tools for web vulnerability discovery. While the platform (iv) has been exceptionally fast to evaluate new vulnerability submissions, (v) the patching times of the web vulnerabilities disseminated have been long. With these empirical results and the accompanying theoretical discussion, the paper contributes to the small but rapidly growing amount of research on bug bounties. In addition, the paper makes a practical contribution by discussing the business models behind bug bounties from the viewpoints of platforms, ecosystems, and vulnerability markets.

研究动机与目标

• 研究单边开放漏洞赏金（OBB）平台在无报酬激励情况下的漏洞披露动态。
• 探究自动化工具与知识差异在塑造黑客生产力及漏洞质量方面的作用。
• 评估已披露漏洞的修补时间，并识别影响修复速度的因素。
• 评估社区驱动型漏洞赏金平台的商业模式可持续性，与HackerOne或ZDI等双边模式进行对比。
• 探讨平台设计（包括开放数据与协调机制）如何影响披露效率与安全结果。

提出的方法

• 分析2015年至2017年底通过开放漏洞赏金（OBB）平台披露的近160,000个网络漏洞的数据集。
• 对提交模式、黑客生产力及受影响厂商的修补时间线进行实证分析。
• 运用网络效应与平台经济理论，构建单边漏洞赏金生态系统结构动态的理论框架。
• 考察自动化工具在漏洞发现中的作用，特别是针对XSS和CSRF类漏洞。
• 调查OBB与厂商之间在协调与沟通方面的缺口，包括security.txt等标准的使用情况。
• 对修补延迟进行定性与定量评估，并分析黑客声誉与技术因素对修补速度的影响。

实验结果

研究问题

• RQ1 在无经济激励的情况下，单边OBB平台在传播网络漏洞方面的有效性如何？
• RQ2 导致OBB平台上黑客之间显著生产力差距的因素有哪些？
• RQ3 自动化工具与知识鸿沟在多大程度上影响了所披露漏洞的质量与类型？
• RQ4 尽管OBB对新提交的评估速度很快，为何修补时间仍然很长？
• RQ5 平台设计与商业模式如何影响长期安全结果与厂商响应能力？

主要发现

• OBB平台在2015年至2017年间成功传播了近160,000个网络漏洞，证明其作为社区驱动型披露机制的有效性。
• 少数高产黑客占据了绝大多数提交量，表明参与者之间存在显著的生产力差距。
• 尽管新提交的评估速度很快——通常在数小时内完成——但已披露漏洞的修补时间仍然很长，平均持续数周至数月。
• 使用自动化工具进行漏洞发现加剧了知识鸿沟，即使是对XSS和CSRF等常见漏洞也是如此，可能导致低质量或重复的报告。
• 修补时间并未显著受网站受欢迎程度、维护工作量或以往披露历史的影响，而更多取决于报告漏洞的黑客声誉。
• 缺乏协调与沟通标准（如security.txt的广泛采用）会阻碍有效披露，并增加误报与重复报告的风险。