HackerOne 发生了什么？

那么……HackerOne 最近发生了什么？可能是时候进行健康检查了。如果您是 bug 赏金领域的新手（1-3 年），您可能不知道我在说什么。但作为一个经历过 HackerOne 黄金时代的彻底失败的 bug 赏金猎人，我认为是时候解决房间里的大象了。在某些背景下，我于 2017 年开始在 HackerOne 担任黑客。当我开始从事技术工作时，这种实践经验对于管理错误赏金计划非常有用，因为我知道研究人员想要什么，以及如何与他们互动。因此，从 2018 年到 2025 年，我在不同公司的 HackerOne 上管理了多个大型错误赏金计划，并且我一直处于等式的两边。我将要谈论的内容来自作为研究人员和错误赏金项目经理的第一手经验，以及与 HackerOne 多年的公开和私下直接对话。背景 # 首先，我认为了解 HackerOne 的最初设计目的很重要。 2011 年，两位道德黑客 Jobert Abma 和 Michiel Prins 着手寻找 100 家最大科技公司的安全漏洞。他们成功了，并在 Google、Facebook、Apple、Microsoft、Twitter 和许多其他公司中发现了错误。此时此刻，道德安全研究的前景充满风险，法律上存疑，并且对安全研究人员来说非常可怕。不仅个人要承担重大责任，而且在此之前，已经有多起黑客因发现和报告安全漏洞而被刑事指控并被判入狱的事件。这很大程度上是由于沙子上​​画的特定的任意线造成的，如果交叉，你就会成为一个坏演员，但如果不交叉，你就会成为一个潜在的坏演员，但从技术上讲，这不是一个坏演员。像 HackerOne 这样的 Bug 赏金平台就是为了直接解决这个问题而设计的。它为公司和黑客建立了一个安全的相互联系空间，并为道德黑客在获得完全同意的情况下向公司提交安全漏洞并获得报酬铺平了道路。这是一个巨大的里程碑。您不必再担心因发现泄露客户数据的 IDOR 而被送上法庭（或监狱）。相反，你会得到一句“谢谢”和现金奖励，让每个人都更加安全。这种运营模式是错误赏金的基础，并在接下来的 5 年多的时间里一直如此。 HackerOne 和现场黑客活动的黄金时代 # 在此期间，企业有一个非常强烈且明确的焦点：我们如何使其成为黑客的最佳产品？日常经营业务的人是黑客，与黑客相邻，而且大多数（如果不是全部）都定期与黑客面对面。从 2017 年到 2020 年，HackerOne 每隔几个月就会举办一次现场黑客活动 (LHE)。这些都是独家活动，世界各地的顶级漏洞赏金研究人员将飞到一个地点，指定一个目标，然后全力寻找关键漏洞。 LHE 是项目的巨大价值支柱。在 1-3 天的时间内，您将收到比全年收到的更多的高级和关键安全报告。每场活动都有一张定制设计的海报，上面有图形、黑客用户名、贴纸和挑战币。对于 HackerOne 及其顶级项目来说，这是一个多么令人难以置信和富有成效的时期，怎么形容都不为过。这些活动都是独家且备受追捧的。邀请和+1 实际上是他们自己的货币。这些活动的环境是超现实的。你将获得世界各地的免费航班和酒店，并与世界上最优秀、最熟练的漏洞赏金猎人一起度过几天。这些研究人员会定期使用自己的新颖技术发现一些最具影响力的错误，同时在一次性对话中分享无法在其他任何地方复制的提示和技巧。在现场黑客活动出现之前，大多数安全研究人员的圈子都很小、孤立，公开共享信息几乎是闻所未闻的。 LHE 为安全研究人员创造了一种相互联系的方式，并且本质上在信息安全内创建了一个全新的社区。现在我最亲密的朋友大多数都是通过现场黑客场景认识的，为此我非常感谢 HackerOne。 LHE 并不是 HackerOne 为安全研究人员构建和建立社区的唯一领域。他们创建了一个 HackerOne 社区空间来组织聚会、在线活动、研讨会和 CTF。他们创建了地区俱乐部，并任命居住在那里的黑客作为大使，帮助培育和发展世界各地的当地研究人员社区。但慢慢地，但可以肯定的是，事情开始发生变化。社区团体和活动失去了动力并以失败告终。定制设计的丝网印刷 LHE 海报变成了廉价、省力的激光印刷品。那些多年来致力于创造的人们