22 मार्च, 2018 को, नेटफ्लिक्स ने एक "बग बाउंटी" प्रोग्राम शुरू किया जो कंपनी को कमजोरियों की रिपोर्ट करने वाले हैकर्स को मुआवजा देता है। यह कुछ ऐसा है जो कंपनी ने पिछले पांच वर्षों से किया है, लेकिन केवल एक प्रतिबंधित सेटिंग में। अब जब इसने प्रोग्राम को जनता के लिए खोल दिया है, तो बड़ी संख्या में हैकर्स साइट को बड़े पैमाने पर देखेंगे।
यह अभ्यास थोड़ा अराजक लग सकता है, लेकिन कई लोग दावा करते हैं कि अपनी वेबसाइट को हैक करने के लिए अजनबियों को भुगतान करना संभावित खतरों के खिलाफ इसे सुरक्षित करने के सबसे प्रभावी तरीकों में से एक है। हालांकि, सवाल यह है कि क्या बग बाउंटी प्रोग्राम वास्तव में एक इन-हाउस पेनेट्रेशन टेस्टिंग टीम होने से अधिक प्रभावी हैं।
पेनेट्रेशन टेस्टिंग कैसे काम करती है
पेनेट्रेशन टेस्टिंग विकास चक्र का एक सामान्य हिस्सा है जो आमतौर पर किसी उत्पाद को जनता के लिए जारी करने से पहले किया जाता है। इसमें व्यक्तियों की एक टीम शामिल होती है, चाहे आउटसोर्स या इन-हाउस, जो उस सॉफ्टवेयर या सिस्टम को "हैक" करने का प्रयास करते हैं जिसे कंपनी जारी करना चाहती है। फिर वे प्लेटफॉर्म पर पाई गई सभी कमजोरियों की रिपोर्ट करते हैं, जिससे डेवलपर्स को इन समस्याओं को ठीक करने की अनुमति मिलती है इससे पहले कि वे बाद में परेशानी बन जाएं।
पेनेट्रेशन टेस्टिंग के दौरान, टीम आमतौर पर सभी संभावित कमजोरियों को उजागर करने के लिए एक निर्धारित प्रक्रिया का पालन करती है। इसमें उन तकनीकों का उपयोग शामिल हो सकता है जिनका उपयोग हैकर्स आमतौर पर सिस्टम और सॉफ्टवेयर में घुसपैठ करने के लिए करते हैं। आपको अपने सॉफ्टवेयर में महत्वपूर्ण क्षेत्रों की एक व्यापक सूची मिलती है जिन्हें अधिकांश हैकर्स सबवर्ट करने में सक्षम होंगे।
बग बाउंटी को इतना आकर्षक क्या बनाता है?
जब आप एक बग बाउंटी प्रोग्राम बनाते हैं, तो आप मूल रूप से जनता को बता रहे हैं कि आप किसी भी व्यक्ति को एक निर्धारित राशि का भुगतान करने के इच्छुक हैं जो आपको एक महत्वपूर्ण भेद्यता की रिपोर्ट करने का प्रबंधन करता है। एक सफल बग बाउंटी चलाने के लिए, आपको कुछ बुनियादी नियम निर्धारित करने की आवश्यकता है ताकि लोगों को पता चले कि ऐसी खोज के दौरान किस तरह का व्यवहार अस्वीकार्य है।
यह कितना प्रतिकूल लग सकता है, इसके बावजूद, बग बाउंटी पारंपरिक पेनेट्रेशन टेस्टिंग पर कुछ फायदे प्रदान करते हैं:
- बाउंटी में प्रतिभागियों को भेद्यता मिलने पर भुगतान किया जाता है, जिससे सॉफ्टवेयर का गहन स्वीप करने के लिए प्रोत्साहन मिलता है। पेनेट्रेशन टेस्टिंग ये प्रोत्साहन प्रस्तुत नहीं करती, क्योंकि टीम के सदस्यों को भुगतान किया जाता है चाहे वे कितने भी गहन हों।
- बाउंटी हजारों कुशल हैकर्स को अपनी योग्यता परखने का अवसर देती है, जो अविश्वसनीय संख्या में दृष्टिकोण प्रदान करती है। पेनेट्रेशन टेस्टिंग टीमें आकार में प्रतिबंधित होती हैं। उनके कौशल के बावजूद, उनका दृष्टिकोण सीमित होता है।
- कई बग बाउंटी प्रतिभागी कुशल पूर्णकालिक पेशेवर होते हैं जो एक ही समय में कई अलग-अलग शिकार में भाग लेते हैं।
- विशाल "हमला सतह" वाली कंपनियां (यानी सॉफ्टवेयर जो उल्लंघनों के लिए बहुत प्रवण है) उन बग्स को उजागर कर सकती हैं जो पहले उनकी अपनी टीमों द्वारा छोड़ दिए गए थे।
पेनेट्रेशन टेस्टिंग अभी भी प्रासंगिक क्यों है
बग बाउंटी महान हो सकती हैं, लेकिन वे उन कंपनियों के लिए जरूरी नहीं हैं जिनके पास विशाल समुदाय नहीं हैं। यही कारण है कि पेनेट्रेशन टेस्टिंग अभी भी एक बड़ी घटना है। यदि आप एक मेडिकल सप्लाई सॉफ्टवेयर कंपनी हैं, उदाहरण के लिए, आपको उतने इच्छुक प्रतिभागी नहीं मिल सकते जितने, कहते हैं, दसियों हजारों लोगों के समुदाय वाले एक वीडियो गेम स्टूडियो को मिलते हैं।
पेनेट्रेशन टेस्टिंग अभी भी अन्य फायदे प्रदान करती है जो कंपनियों को बग बाउंटी के विचार को पूरी तरह से छोड़ने के लिए मना सकते हैं:
- आप अपनी कमजोरियों के जनता के सामने उजागर होने के जोखिम को कम करते हैं इससे पहले कि आपके पास उन्हें ठीक करने का मौका हो। भले ही आप अपने बग बाउंटी में इसके खिलाफ नियम निर्धारित करें, लोग इसे गलत समझने के लिए बाध्य हैं।
- आउटसोर्स पेनेट्रेशन टेस्टिंग कंपनियां प्रमाणन प्रदान कर सकती हैं जो आपके ग्राहकों के लिए महत्वपूर्ण है।
- रिपोर्टिंग की गुणवत्ता अक्सर पेनेट्रेशन टेस्टिंग में बहुत अधिक होती है।
- यह अत्यधिक विनियमित बाजारों में उपयोगी है (जैसे भुगतान प्रसंस्करण और बैंक/डेबिट/क्रेडिट कार्ड डेटा को संभालने वाली कोई भी चीज)।
क्या आप नेटफ्लिक्स के बग बाउंटी प्रोग्राम के कारण इसका उपयोग करते समय अधिक सुरक्षित महसूस करते हैं? या कंपनी पेनेट्रेशन टेस्टिंग टीम के साथ काम करके बेहतर होती? हमें टिप्पणी में इसके बारे में सब बताएं!
