Ведьмаки цифрового мира: какой доход приносит охота за багами?
«В IT голодным не останешься» — поговорка новых реалий, которая давно себя оправдала. И ни для кого не секрет, что даже базовое образование в сфере цифровых технологий позволяет в дальнейшем работать сразу в нескольких направлениях. Поэтому, если вы ищите дополнительный заработок, то вас может заинтересовать такое неординарное явление в цифровом мире, как багхантинг — настоящая охота за «сокровищами».
Суть явления
«Не все преступники — злодеи», и не все хакеры работают в Даркнете. Многие разработчики или же просто люди, которые имеют достаточно знаний о работе серверов, готовы помогать делать интернет безопаснее и нашли свое призвание в поиске ошибок и уязвимостей на известных сайтах и в приложениях. Само явление получило название Bug Bounty («вознаграждение за ошибку»). Программы Bug Bounty реализованы многими известными компаниями, например, «Facebook», «Google», «Яндекс», «Вконтакте» и в принципе любой сервер будет благодарен тем, кто поможет им выявить ошибки в работе их цифровых продуктов.
Самые известные Bug Bounty платформы:
В основном все багхантеры — фрилансеры, а иногда и просто «добровольцы», поэтому они не имеют в своей деятельности каких-либо ограничений, и могут искать любые уязвимости, которые смогут найти. Также они вольны сами выбирать место своего заработка: искать заказы на специальных платформах, либо же проявлять собственную инициативу и тестить любые понравившиеся сайты или приложения. Все что нужно после выявления багов — отправить подробный отчет в техническую поддержку и получить заслуженное вознаграждение.
Подробнее о доходах
Самыми популярными платформами среди багхантеров считаются HackerOne и Bugcrowd, так как на них чаще всего появляются новые заказы. Политика сайтов защищает интересы как заказчиков, так и исполнителей, поэтому первым можно не беспокоиться о сохранности своих данных, а багхантеры могут быть уверены, что точно получат свой ганорар за выполненную работу.
Размер оклада зависит от уровня критичности найденных уязвимостей. На этих сайтах у исполнителей существует рейтинг, который повышается с количеством выполненных заданий. Для багхантеров с высоким рейтингом открывается доступ к приватной программе, где крупные компании размещают уже более серьезные задания, а значит, назначается и более щедрое вознаграждение.
Заработок на этих сайтах начинается от 50$ и может доходить и до 50 000$
Источник сайт bugcrowd.com
Источник сайт hackerone.com
Также недавно появились российские аналоги сайтов: BugBounty.ru и The Standoff 365. Заработок на этих платформах может составлять от 0 до 400 000 руб.
Источник сайт standoff365.com
Многие сайты, например, такие как «Яндекс», на своих ресурсах имеют специальные программы поощрений для багхантеров. Яндекс за найденные ошибки платит от 5 000 до 170 000 руб.
Источник сайт yandex.ru
Источник сайт yandex.ru
И, как было написано ранее, можно уйти в абсолютный фриланс и искать ошибки на любых сайтах и приложениях, а дальше самостоятельно связываться с тех поддержкой и договариваться о цене.
Как стать охотником
Какие знания необходимы багхантерам и где всему этому обучаться? Как сама работа, так и обучение в этом направлении предполагают самостоятельный поиск и самообразование. Но начать может каждый, у кого достаточно знаний и навыков — от охотников требуется только грамотный отчет с найденными ошибками, и прикреплять к нему дипломы, сертификаты или справку с последнего места работы не потребуется.
Чтобы уметь находить ошибки, и чем разнообразнее и сложнее они будут, тем лучше, необходимо разбираться в следующих направлениях:
Все о тестировании: методы, типы и виды, уметь работать с разными шаблонами проектирования;
Разбираться в архитектуре веб-приложений;
Понимать, как работают протоколы HTTP, DNS, TCP;
Знать языки программирования (Python, Java, MySQL, PHP и др. — опять же, количество здесь выступает приемуществом)
Практиковаться на тренажерах, например, «Hack The Box»;
Читать дополнительную литературу и изучать открытые отчеты по найденным уязвимостям (они есть также на сайте «HackerOne»);
Развивать нестандартное мышление — логические тренажеры точно помогут подходить к поиску более внимательно.
Сайт «HackerOne» запустил бесплатный курс «HACKER101», который могут пройти все желающие. На нем обучают:
Как выявлять, использовать и устранять основные уязвимости веб-безопасности, а также многие другие скрытые ошибки;
Как правильно обращаться с криптографией;
Как разрабатывать и анализировать приложения с точки зрения безопасности;
Как начать работать багхантеру
Мир супергероев: чем отличаются багхантеры от других специалистов
В цифровом сказочном мире тоже существуют белые и черные волшебники. Белые хакеры работают во благо человечества и свои способности для взлома применяют только из добрых побуждений. Носят они белые шляпы, и в их деятельность также входит выявление ошибок и уязвимостей. В отличие от багхантеров, «мирных жителей», белые, этичные хакеры выступают в качестве атакующей стороны, поэтому и специфика проблем, которыми они обычно занимаются, затрагивает только определенные сегменты. К тому же для хакеров взломы стали уже больше соревнованием или отдельным видом киберспорта. И чаще всего соревнуются в своих навыках по взлому на сайте CTFtime.
Переведено сайтом tproger.ru, источник сайт techtarget.com
У тестировщиков, обладателей официальной работы со стабильным окладом, тоже ограничена сфера деятельности. В их работе основная ориентация идет на потребности пользователей, поэтому в первую очередь они следят за исправностью тех программ и функций, которыми чаще всего пользуются посетители сайта. С такой загруженностью невозможно проследить все ошибки, которые возникают, а думать о планах злоумышленников тем более некогда.
Багхантеры же птицы свободного полета, и в отличие от смежных направлений, они могут сами выбирать ошибки, которыми хотят заниматься, и никаких ограничений в их деятельности нет.
Истории успеха
Стать стабильным ежемесячным доходом багхантинг не сможет. Можно браться только за высокооплачиваемые заказы, но задачи и необходимое для их решения время — всегда будут разными. В процессе выполнения одного задания, вполне возможно, что будут выявлены еще и другие ошибки или уязвимости.
А иногда можно разово выиграть в лотерею или сорвать большой куш на одной ошибке. И примеров таких счастливчиков среди багхантеров не мало.
Беларуский Android-разработчик Дмитрий Лукьяненко (по поводу правильности написания фамилии: на сайте Google и на чеке указано Лукьяненка, во всех российских СМИ о нем пишут как Лукьяненко) в 2018 году за найденные баги получил гранты от «Google» 12 раз подряд. Один грант составляет 1337$ , эту выплату даже назвали в его честь »1 dmitry». Сейчас Дмитрий входит в топ 20 лучших багхантеров угла (сейчас на 13 месте).
А за один найденный баг на сайте «Facebook» он получил сразу $15 000.
Источник сайт devby.io
Еще одна успешная история с компанией «Facebook» произошла у российского программиста Андрея Леонова: компания за найденную ошибку отправила Андрею чек на 40 000$. На тот момент, в 2017 году, это были рекордные выплаты за багхантинг от «Facebook».
В России также есть случаи «случайных» вознаграждений: за найденную уязвимость на сайте для своей клиентки компания ПИК продала квартиру по первоначальной цене, и даже сделала дополнительную скидку на 100 тысяч рублей.
