TikTok設(shè)立漏洞獎(jiǎng)勵(lì)計(jì)劃,獎(jiǎng)金標(biāo)準(zhǔn)為國(guó)內(nèi)抖音的7倍
2020-10-20
來(lái)源:互聯(lián)網(wǎng)安全內(nèi)參
身處美中風(fēng)暴中的視頻社交應(yīng)用TikTok近日宣布,與漏洞眾測(cè)平臺(tái)HackerOne合作推出漏洞獎(jiǎng)勵(lì)計(jì)劃,邀請(qǐng)全球白帽子報(bào)告其TikTok網(wǎng)站、Android應(yīng)用、iOS應(yīng)用的安全漏洞。
TikTok漏洞獎(jiǎng)勵(lì)計(jì)劃基于CVSS規(guī)范評(píng)估漏洞危害,分為嚴(yán)重、高、中、低四檔,其中低危漏洞獎(jiǎng)金在50-200美元之間,中危漏洞為200-1700美元,高危漏洞為1700-6900美元,嚴(yán)重漏洞為6900-14800美元。
這是一個(gè)標(biāo)準(zhǔn)較高的HackerOne漏洞獎(jiǎng)勵(lì)計(jì)劃,據(jù)統(tǒng)計(jì)數(shù)據(jù)顯示,TikTok目前已為此支付超過(guò)4萬(wàn)美元獎(jiǎng)金。
碰巧的是,TikTok母公司字節(jié)跳動(dòng)在今年7月剛剛更新了國(guó)內(nèi)漏洞報(bào)告規(guī)則,提升了漏洞獎(jiǎng)金,我們可以比較下雙方的差別。
字節(jié)跳動(dòng)安全中心(ByteSRC)的漏洞等級(jí)也分為嚴(yán)重、高危、中危、低危四等,不過(guò)同等漏洞在不同業(yè)務(wù)的獎(jiǎng)金不同。今日頭條、抖音、西瓜視頻等核心業(yè)務(wù)屬于高系數(shù)類(lèi),獎(jiǎng)勵(lì)金額最高,嚴(yán)重漏洞最多可獲得1.8萬(wàn)元獎(jiǎng)金,邊緣業(yè)務(wù)如接管投資、合資公司的業(yè)務(wù)則最多只有2400元。
對(duì)比上述內(nèi)容可以看出,抖音距離其國(guó)際版TikTok的漏洞獎(jiǎng)金差距不小,雖然兩者同出一源,但隨著TikTok在國(guó)際市場(chǎng)上炙手可熱,兩者的“安全價(jià)值體現(xiàn)”也拉開(kāi)了接近7倍差距。
眾所周知,國(guó)內(nèi)公司的漏洞獎(jiǎng)勵(lì)比國(guó)外低很多,字節(jié)跳動(dòng)屬于頭部公司中做得不錯(cuò)的,如果把列表拉長(zhǎng),我們會(huì)發(fā)現(xiàn)還有差距更大的,比如:
有白帽子表示,美國(guó)IT行業(yè)平均薪資水平是國(guó)內(nèi)的3倍以上,也就意味著漏洞賞金支出是國(guó)內(nèi)的3倍來(lái)說(shuō)是完全合理的,但現(xiàn)實(shí)情況是國(guó)內(nèi)給的錢(qián)差太多,導(dǎo)致許多人為國(guó)外挖漏洞,安全能力流失。
如何改善這一現(xiàn)象,還任重道遠(yuǎn)。