GitHub’da hata ödülü araştırmacıları özellikleri nasıl seçiyor?

GitHub bug bounty programı neyi öne çıkarıyor?

GitHub bug bounty programı, güvenlik araştırmacılarının platformdaki zafiyetleri kötüye kullanılmadan önce tespit edip bildirmesine dayanıyor. GitHub, dünya genelindeki araştırmacıların on yılı aşkın süredir bu süreçte yer aldığını; bu bildirimlerin milyonlarca geliştirme projesini çalıştıran kodun korunmasına katkı sunduğunu belirtiyor.

Şirketin yayımladığı söyleşinin odağında, programın öne çıkan katılımcılarından @vaib25vicky bulunuyor. GitHub’a göre araştırmacı, özellikle yetkilendirme ve erişim kontrolü alanında çalışıyor ve ekosistemdeki ayrıntılı, etkisi yüksek sorunlardan bazılarını ortaya çıkardı. Bu profil, hata ödülü araştırmasının yalnızca bir açık listesi taramak anlamına gelmediğini; bir ürün özelliğini uzun süre incelemeyi de içerdiğini gösteriyor.

İlk adım: Özelliğin kullanımını anlamak

@vaib25vicky, araştırmaya sabit bir hata sınıfıyla başlamadığını söylüyor. Karşısına bir özellik çıktığında önce onu kullanıyor, nasıl işlediğini anlamaya çalışıyor ve ardından bu özelliğin bir güvenlik sorununa yol açacak şekilde kötüye kullanılıp kullanılamayacağını düşünüyor.

Bu yaklaşımda araştırmanın başlangıç noktası, “hangi hatayı aramalıyım?” sorusu değil, “bu özellik ne yapıyor?” sorusu oluyor. Araştırmacının anlatımına göre denenecek hata sınıfları da özelliğin kendisine göre değişiyor. Dolayısıyla aynı araştırma yöntemi, her üründe ya da her özellikte aynı kontrol listesinin uygulanacağı anlamına gelmiyor.

Neden belirli hata türleriyle sınırlı kalmıyor?

Söyleşideki yaklaşımın temel noktası, hata türlerinin özelliğin bağlamından ayrılmaması. Bir özellik anlaşılmadan ona hangi güvenlik testlerinin uygulanacağının peşinen belirlenmesi yerine, özelliğin işleyişi araştırmanın yönünü tayin ediyor.

GitHub’ın araştırmacıyı yetkilendirme ve erişim kontrolü araştırmalarındaki çalışmalarıyla tanımlaması da bu çerçeveyi somutlaştırıyor. Ancak araştırmacının kendi anlatımı, çalışmalarını tek bir hata kategorisine kapatmadığını vurguluyor. Özellik nasıl çalışıyorsa, olası yanlış kullanım biçimleri de onun üzerinden değerlendiriliyor.

Beceri güncellemek için hangi kaynaklar izleniyor?

Araştırmacı, yeni zafiyet eğilimlerini ve becerilerini güncel tutmak için bireysel araştırmacılarla şirket bloglarını birlikte takip ettiğini belirtiyor. X üzerinde gerçek bulgular ve teknik incelemeler paylaşan araştırmacıları izliyor; blog tarafında ise şirketlerin araştırma yazılarını ve hata ödülü programlarına ilişkin bulgu analizlerini okuyor.

Burada öne çıkan unsur, bilginin tek bir kanaldan gelmemesi. Bireysel araştırmacıların paylaşımları ile şirketlerin araştırma içerikleri ve hata ödülü yazıları birlikte takip ediliyor. Kaynağın metninde, bu takip düzeninin belirli bir araç ya da otomatik bir süreçten çok araştırma topluluğunda yayımlanan bulgulara dayandığı görülüyor.

GitHub neden kalite odaklı ödül modeline geçti?

GitHub, bu yıl ödül tablolarını yeniden yapılandırdığını ve teşvik mantığını değiştirdiğini açıkladı. Şirketin ifadesiyle modelde daha fazla bildirim göndermek yerine daha iyi bildirimler göndermek daha yüksek kazançla ilişkilendiriliyor. Bu değişim, araştırmacının sürekli ve derinlikli biçimde çalışmasına odaklanan yaklaşımıyla aynı doğrultuda sunuluyor.

Bu çerçevede GitHub, sürekli olarak yüksek kaliteli ve yüksek etkili çalışma teslim eden araştırmacılar için kalıcı, yalnızca davetle girilebilen bir VIP programı oluşturdu. VIP araştırmacılar, kritik bulgular için 30 bin dolar veya daha yüksek ödemeler, bildirimlerinde daha hızlı yanıt süreleri ve ürünler ile özelliklerin kamuya açılmasından önce beta önizlemeleri alabiliyor.

VIP programına hangi bulgularla davet gelmesi mümkün?

GitHub’ın açıkladığı ölçütlere göre bir araştırmacı; çözülmüş bir kritik bulguya, iki yüksek önem dereceli bulguya, dört orta önem dereceli bulguya ya da yedi düşük önem dereceli bulguya ulaştığında davet almaya hak kazanabilir. Şirket, bunun otomatik bir kabul değil, davet olasılığı yaratan ve tutarlı kaliteye dayanan bir yol olduğunu ifade ediyor.

Bu eşikler, programın yalnızca en yüksek önem derecesindeki sorunları değil, farklı önem derecelerindeki çözülmüş bulguların sürekliliğini de dikkate aldığını gösteriyor. Yine de GitHub’ın vurguladığı ana kriter, bildirim hacmi değil, ortaya konan çalışmanın kalite ve etkisi.

Araştırmacının GitHub’a yönelmesinde ne etkili oldu?

@vaib25vicky, bilgisayarlara çocukluktan beri ilgi duyduğunu, üniversitede kod yazıp farklı projeler geliştirdiğini anlatıyor. Sistemleri daha derinden anlamaya başladığında, onların istediği biçimde davranmasını sağlamanın yollarını keşfettiğini; bunu da hackleme olarak gördüğünü söylüyor. Hata ödülü programlarını daha sonra tesadüfen keşfettiğini ve araştırmayı eğlenceli bulduğunu belirtiyor.

GitHub’ın programına yönelmesinde ise platformu kendi çalışmalarında yoğun kullanmış olması etkili olmuş. Araştırmacı zamanla GitHub’a başka programlardan daha fazla odaklandığını; bunun nedenleri arasında yüksek ödülleri, zorluğu, ekip deneyimini ve programla yaşadığı olumlu deneyimi sayıyor. GitHub’ın bu araştırmacıyı örnek göstermesi, platformun kalite odaklı yeni ödül modelini somut bir çalışma biçimi üzerinden açıklama amacını taşıyor.