GitHub keerde in 2022 ruim 1,5 miljoen dollar uit aan bugbounty's

Codehostingplatform GitHub betaalde tussen februari van 2022 en 2023 zo'n 1,57 miljoen dollar aan bugbounty's aan ethische hackers en codeurs. In totaal werden 364 gerapporteerde gevallen van bugs met een geldsom beloond.

GitHub detailleert in een blogpost enkele statistieken rondom het bugbountyprogramma. Zo werden er ruim 2000 meldingen gemaakt van bugs, waarvan dus ruim 360 meldingen tot een uitbetaling leidden. Gekeken naar het aantal meldingen per maand, werden de meeste meldingen tijdens het eigen hackersevenement H1-512 in juni gemaakt. In totaal werd er sinds de start van het bugbountyprogramma in samenwerking met HackerOne in 2016 ruim 3,84 miljoen dollar aan bugbounty's uitgekeerd, waarvan alleen al dit jaar dus 1,57 miljoen dollar.

Reacties (26)

[AntonMadness]

Is dit iets wat je als zelfstadinge full time zou kunnen doen?

[Jim80]

Hacking vereist een zeer diepgaande technische kennis en massa's programmeerervaring. Ook moet je soms extreem outside the box kunnen denken.

[neonite]

Niet helemaal waar. Wat je vooral nodig hebt, is basiskennis van netwerken, webapplicaties en clouddiensten. Maar inderdaad, de mindset om 'out-of-the-box' te denken is het belangrijkst, en je moet continue nieuwsgierig zijn naar nieuwe aanvalstechnieken. Er zijn genoeg hackers die geen programmeer ervaring hebben en toch succesvol zijn in bug-bounty.

Zelf ben ik ook geen programmeur, maar eindigde wel in de Nederlandse top 5 van HackerOne in 2022.

[Reactie gewijzigd door neonite op 24 juli 2024 14:08]

[arnoldus1955]

Wat zou je aanraden te doen om een basiskennis / fundament te krijgen hier in?

[neonite]

Er is niet een vast regime hiervoor, maar het eerste wat er in mij opkomt is:

• Laagdrempelige trainingen, zoals: https://tryhackme.com/hacktivities#learning-paths & https://pentesterlab.com
• Veel succesvolle reports bestuderen, zoals: https://hackerone.com/hacktivity/overview of https://www.bugbountyhunter.com/disclosed/
• Volg andere hunters via X/Twitter, veel plaatsen 'gratis' advies maar pas op voor de betaalde trainingen die iedereen probeert te voorkomen.

En richt je in beginsel op programma's zonder beloningen om wat meer gevoel erbij te krijgen. Hier zal je meer kwetsbaarheden vinden.

[Sandro!]

Naast wat @neonite zegt, kun je via PortSwigger leren over het soort exploits waar security researchers naar zoeken. Specifiek leer je er werken met Burp Suite.

[batjes]

Mochten mensen willen kijken of ze dit leuk vinden of hier de capaciteiten voor hebben: Certified secure heeft een heleboel goede gratis hackerman.jpg cursussen om je skills te testen of te ontwikkelen.

[darkshadw]

Ik zie geen gratis cursussen op hun website staan? Zelfs een google search met gratis levert niets op .

[batjes]

Jazeker wel, even account aanmaken en inloggen. Het zijn 'interactieve' cursussen. Je moet ze ook in een bepaalde volgorde halen (de meeste iig). Ze zijn niet allemaal gratis, maar voordat je bij de betaalde komt, ben je al een junior hackerman.

[darkshadw]

Oh, dan ga ik dat proberen deze week, lijkt me super leuk!

[batjes]

Succes. De uitdagingen worden behoorlijk pittig Maar zijn erg vermakelijk.

@arnoldus1955 mocht je die van certified secure gemist hebben, samenwerking met onze vriendelijke buren van security.nl

[loki504]

Hangt van je kennis/kunnen af en je eis van leven.

Als jij extreem goed bent en tevreden bent met bv 20/30k per jaar dan vast wel. Maar ik verwacht dat werken voor een baas/in opdracht je meer geld zal opleveren.

[CAPSLOCK2000]

Is dit iets wat je als zelfstadinge full time zou kunnen doen?

Als je heel goed bent wel maar aantrekkelijk is het niet.
1.5 miljoen dollar lijkt een hoop geld maar een goede security expert kan in de VS tonnen per jaar verdienen. Dan is 1.5M snel op.

Gemiddeld wordt er ongeveer $800 per melding betaalt dus dan zal je minstens 1 melding per week moeten doen om een mager salaris te verdienen (voor het soort werk dat je doet). Als je goed bent krijg je wellicht meer voor minder meldingen maar zelfs als je meldingen worden geaccepteerd zal je er toch iedere maand flink wat tijd in moeten steken. En niet alleen in het vinden van fouten maar ook in het schrijven van een rapportje, uitleggen wat je gevonden hebt, bewijzen dat het echt een gevaar is, achter je geld aan gaan, etc... Als ZZPer moet je dan ook nog zorgen (en betalen) voor verzekeringen, belasting, etc...

Ik denk dat je het goed met het Amerikaanse Uber kan vergelijken. Als je toch al die kant op rijdt kun je (in sommige landen) makkelijk iets bijverdienen door iemand mee te laten rijden, de benzine en afschrijving op je auto moest je toch al betalen. Maar als je full time voor Uber gaat rijden en dus extra kilometers maakt is het helemaal niet zo interessant en kun je misschien beter voor echt taxi-bedrijf gaan werken.

Het maakt natuurlijk wel veel uit waar je woont en wat je nodig hebt en wat je omstandigheden zijn. In delen van de wereld waar de lonen (en huren) lager zijn dan hier is het natuurlijk aantrekkelijker. Als je om een of andere reden niet regelmatig of op "normale" tijden kan werken dan kan het een interessante bijbaan zijn.

Uiteindelijk kom ik toch steeds terug bij het punt dat er andere manieren zijn om meer geld te verdienen als je de skills hebt om dit fulltime te doen.

[Reactie gewijzigd door CAPSLOCK2000 op 24 juli 2024 14:08]

[Willem_54]

Jazeker, er zijn cursussen en trainingen voor. Ook zijner diverse internet sites zoals https://owasp.org/www-project-web-security-testing-guide/.

Ook kun je je certificeren: https://www.tstc.nl/train...2S5wa4EAAYAyAAEgLuQvD_BwE

[kowapanga]

Jazeker.
Ik doe het zelf nu al meer dan 5 jaar full time.
Voor mij heeft het alleen maar voordelen,bijvoorbeeld:
-Je krijgt betaald volgens Amerikaanse richtlijnen (10-100k voor een critical bij sommige programmas) iets wat je in Europa niet makkelijk gaat vinden bij een werkgever.
-Werken waar en wanneer je wilt.
-Legaal hacken met een grote variatie van software/hardware

Vorige maand was bijvoorbeeld H1-702 het grootste live hacking event van het jaar, dan is het even 4 weken keihard werken maar het resultaat is daar en als ik wil hoef ik de rest van het jaar niks meer te doen nu.

Heb het eerst een jaar of twee part time gedaan en dat ging zo goed dat ik al snel daarna besloot full time te gaan.
Dus ik zou zeggen probeer het eens part time, en dan kijken of het je bevalt en of je bugs kunt vinden.

Toen ik begon had ik zelf amper programmeerervaring, het is nu wel iets beter maar het is iets wat totaal niet nodig is.
Het is vooral het outside the box denken hoe je een applicatie dingen kunt laten dan waarvoor het niet bedoeld is.

[kodak]

Aangezien bij dit soort vragen over kans het antwoord zelden 100% nee is mis ik hier toch een grote disclaimer over de omstandigheden om het fulltime te kunnen doen. Het lijkt namelijk maar om een heel kleine groep te gaan die er goed genoeg aan weet te verdienen. Dat zal niet vooral afhangen van proberen, maar eerder dat die groep vooral net de juiste creativiteit en werkwijze heeft die past bij het gebrek aan beveiliging van het bedrijf waarvoor het wil belonen. Dat heel veel mensen het kennelijk niet lukt is eerder een gegeven dan dat het wel zal lukken er genoeg zekerheid uit te hebben.

[MrMonkE]

Met het risico van parelelle ontdekking en dat je dan 4 weken er aan werkt en 1 dag voor jou post iemand anders de zelfde bug-find.

[neonite]

Met voldoende inzet en motivatie, kan dit mogelijk zijn. Ik raad wel aan om het te proberen naast een part-time baan, om de druk/stress weg te nemen indien je niet voldoende bugs kan vinden. Als je meerdere maanden achter elkaar voldoende kwetsbaarheden hebt gevonden, dan zou ik full-time overwegen.

[EnderQ]

Kijk op YouTube, je basis kennis is een factor en of je een beetje een hacker instelling hebt dus interesse in beveiligingen omzeilen, bijv lock picking.
Er zijn diverse platforms zoals intigriti of hacker one daar staan bedrijven die dit gebruiken om veiliger te worden. Let op je registreren is wel belangrijk anders kunnen je activiteiten juridisch problematisch worden, Je blijft verantwoordelijk dus niet iets kapot maken privacy gevoelige toestanden.. Er zijn kleine dingen zoals idors maar na rapportage kan het maanden duren voor uitbetaling. Als je een kwetsbaarheid in crypto vindt bijv in een bridge kan het veel opleveren maar technisch ingewikkeld om van kwetsbaarheid naar een voorbeeld van het gebruik om bijv crypto munten te kunnen stelen. In crypto kun je op coingecko of CoinMarketCap zien of er bug bounties zijn.
Ook zijn er conferenties zoals Pwn2Own waar o.a. Tesla aan meewerkt en je er direct een tesla en geld kunt winnen afhankelijk van de graad van impact.

[Willem_54]

Grote risico’s zitten ook in zogenaamde third party libraries, die gedragen zich als een soort blackboard in je programma. Dan is het de kunst om door middel van geavanceerde testtechnieken ook de kwetsbaarheden van deze routines boven water te krijgen.
Ook daarvoor heb je programmeer ervaring en testcompetenties nodig zoals TMap Next. Overigens is er veel over te vinden maar nog beter is het een cursus te volgen en daarvan een diploma te behalen.
Security Test engineers kunnen een goed salaris verdienen. Hoe diepgaander je specialisme hoe beter de beloning, mits je aantoonbare kennis en ervaring hebt.

Ook al heb ik meer dan 40 jaar programmeer en test ervaring, op het gebied van penetrating voel ik me soms toch nog een nitwit. Dat komt o.a. door de ontbrekende kennis van processoren, netwerktechnologie en de hardware architecturen. Op gebied van software programmering en functionele- en Systeemtesten inclusief security testen kan ik me goed redden.
Het ICT gebied is zeer omvangrijk, daardoor zul je je op een gegeven moment moeten specialiseren.

[Gamebuster]

blackboard

bedoel je black box? Maar ja, ik vind het absurd dat het maar normaal is om 1000en externe dependencies in te laden zonder enige vorm van controle en die uit te voeren. Als we 1000 vreemde programmas van internet downloaden en uitvoeren is dat een risico, maar 1000 libraries binnenhalen via een package manager en uitvoeren op je persoonlijke machine (incl. volledige toegang tot je file system en netwerk) is normaal.

Er hoeft maar 1 pakketje te zijn die even alle development databases (wie heeft er persoonsgegevens staan in development databases, handen omhoog!), je downloads-folder, environment variablen, .envrc files, SSH keys, opgeslagen browser wachtwoorden, browser cookies, opgeslagen db credentials in DB admin tools en opgeslagen API credentials in relevante tools (postman e.d.) upload naar een server en je hangt. Al deze gegevens kan een willekeurige dependency lezen zonder restricties, en je zal het niet eens merken.

Los van de development databases hoeft dit maar een paar seconden te duren en ik durf te wedden dat bij de meeste ontwikkelaars zo extreem gevoelige data gelekt kan worden.

[Reactie gewijzigd door Gamebuster op 24 juli 2024 14:08]

[kodak]

Wat me behoorlijk tegen valt is dat ze na negen jaar nu pas aan een disclosure gaan doen, en dan alsnog maar heel beperkt.

Hoe ze het brengen klinkt het toch meer alsof ze het als goedkope marketing gebruiken en om relatief spotgoedkoop af te zijn van verplichtingen als werkgever. Ze hebben een klein team van zelfstandigen die ze selectief te belonen en door niet breder te delen en leren zwaar te beperken voorkomen ze dat er te veel en te vaak problemen bij komen, om zo die kleine groep flink te kunnen belonen van het budget.

[dez11de]

Ik mag toch hopen dat ze dit geld innen bij de bugmakers.

[EmbeddedPower]

Ten eerste, dat zijn ze waarschijnlijk zelf.
Ten tweede, wat is eigenlijk een bug? Vaak wordt een stukje code geschreven, en dan later hergebruikt op een manier die niet bedoeld was of nooit bedacht was. Wie wil je dan aanspreken?
Ten derde, zolang er enorme druk ligt op het releasen van software en er relatief weinig aandacht voor testen is, zullen er nog wel een hoop bugs bij komen.

[bwerg]

Euhm, het zijn bugs van github, die deze bounties zelf uitkeert...

Maar als je bedoelt dat ze dit gaan innen bij de specifieke programmeurs die in loondienst zijn bij github: dan gaan die programmeurs alleen wel eisen dat ze voor elke merge request die ze aanmaken ze ook twee weken krijgen om een volledige security audit te doen. En dat als ze iets moeten aanpassen in code die niet helemaal duidelijk is ze eerst een maand krijgen om het volledige component te herschrijven, uiteraard weer met uitgebreide vooranalyse en review. Dat gaat github honderd keer meer kosten dan deze bounties.

Schade die een werknemer veroorzaakt als onderdeel van zijn werk komt in het algemeen gewoon op het bordje van de werkgever, tenzij die fout een bewuste actie is of grove nalatigheid. Als je het graag anders ziet mag je de lonen ook wel vervijfvoudigen om te compenseren voor het risico dat je op een normale werkdag gewoon je ding doet, een klein dingetje over het hoofd ziet en ineens een miljoenenclaim op je dak hebt. Dat laatste is puur hypothethisch want zo het risico op werknemers afwentelen gaat je in ieder geval in Nederland niet lukken.

[Reactie gewijzigd door bwerg op 24 juli 2024 14:08]

[jaapzb]

Je bedoelt hun eigen werknemers?