漏洞赏金生态中漏洞猎手视角的挑战与收益
密码学与安全
2023-03-09 v2 软件工程
摘要
尽管研究者已从平台与项目视角刻画了漏洞赏金生态，但理解主要劳动者——漏洞猎手——的视角方面努力甚少。为改进漏洞赏金，理解猎手的激励因素、挑战与整体收益十分重要。我们通过三项研究填补此空白：通过自由列举调查识别关键因素（n=56）、以更大规模因素评分调查评定各因素重要性（n=159）、并进行半结构化访谈以揭示细节（n=24）。在猎手列举的 54 个因素中，我们发现奖励与学习机会是最重要的收益。进一步，我们发现范围为项目间首要区分因素。令人意外的是，我们发现获取声誉是猎手最不重要的激励因素之一。在我们识别的挑战中，沟通问题（如不予回应与争议）最为突出。我们提出使漏洞赏金生态对更多猎手友好并最终提升这一未充分利用市场参与度的建议。
引用
@article{arxiv.2301.04781,
title = {Bug Hunters' Perspectives on the Challenges and Benefits of the Bug Bounty Ecosystem},
author = {Omer Akgul and Taha Eghtesad and Amit Elazari and Omprakash Gnawali and Jens Grossklags and Michelle L. Mazurek and Daniel Votipka and Aron Laszka},
journal= {arXiv preprint arXiv:2301.04781},
year = {2023}
}