零日漏洞利用的收益最大化市场
计算机科学与博弈论
2020-06-26 v1
摘要
零日漏洞利用（厂商未知的软件漏洞）市场历史悠久且日益流行。我们从收益最大化的机制设计视角研究这些市场。首先提出一个零日漏洞利用市场的理论模型。在我们的模型中，一个漏洞利用被售予多个买家。存在两类买家，我们称之为防御者与攻击者。防御者是为修复漏洞而购买漏洞的买家（如软件供应商）。另一方面，攻击者则是意图利用漏洞的买家（如国家安全机构与警方）。我们的模型不止于单物品拍卖。首先，漏洞利用是一段信息，故一个漏洞可利用可售予多个买家。其次，买家间存在外部性。若某防御者中标，则该漏洞利用对攻击者而言变得毫无价值。第三，若在拍卖前将漏洞利用细节披露给买家，则他们可能带走信息而不付费。另一方面，若不披露细节，则买家难以给出其私人估值。鉴于上述，我们提出的机制在拍卖前将漏洞利用细节披露给所有攻击者。攻击者随后付费以延迟该漏洞利用被披露给防御者。
引用
@article{arxiv.2006.14184,
title = {Revenue Maximizing Markets for Zero-Day Exploits},
author = {Mingyu Guo and Hideaki Hata and Ali Babar},
journal= {arXiv preprint arXiv:2006.14184},
year = {2020}
}