RTI Radio Taiwan International 
RTI Radio Taiwan International Google Bug Bounty ? dibanderol seharga 12 juta USD, yuk merapat. ( part 2 )
LockBit telah menjadi pionir ransomware yang menawarkan hadiah kepada peneliti dan pengembang yang berhasil mengidentifikasi celah keamanan. Hadiah dengan kisaran antara 1000 USD hingga 1 juta demi mendeteksi bug di berbagai aspek situs web, seperti skrip lintas situs atau XSS, enkripsi dan kerentanan di Tox messenger dan jaringan Tor.
Dilansir dari Securityintelligence.com yang menuliskan bahwa kewajiban bug bounty yang tidak terlalu tersembunyi terlepas dari antusiasme Google dan Lockbit, beberapa pakar keamanan seperti Joseph Neumann selaku Cyber Executive Advisor di Coalfire mengingatkan tentang risiko program bug bounty. Mengingat persyaratan validasi yang semakin kompleks dan semakin lelahnya audit kerangka kepatuhan, program bug bounty memerlukan pemikiran yang cermat dan strategis. Organisasi tidak boleh mengabaikan risiko yang tersembunyi di baliknya.
Menurut Neumann, program bug bounty tidak berfungsi sebagai pengesahan pihak ketiga yang terakreditasi dan mungkin tidak memenuhi persyaratan kepatuhan terhadap peraturan. Meskipun program tersebut dapat mengidentifikasi kerentanan dengan segera, bug bounty mungkin tidak menawarkan pengujian komprehensif atau menilai permukaan serangan secara lengkap. Apa potensi terbesarnya ? peretas etis bisa mendapatkan akses masuk ke dalam kode yang sensitif, yang mungkin dapat membuka pintu bagi pelaku kejahatan untuk menemukan dan mengeksploitasi kerentanan.
Lalu berapa biaya bug bounty ?
Google memuji komunitas bug bounty dengan hadiah yang lebih besar ketimbang tahun lalu, namun apakah hal tersebut merupakan hal yang baik? Program bug bounty dapat mengandung jebakan yang sering diabaikan, antara lain adalah potensi biaya yang tidak terkendali, Neumann menyebutkan bahwa biaya yang diberikan kepada bug bounty tidak akan tercatat dalam program perusahaan. Jumlah kerentanan yang tidak terbatas dapat ditemukan dan dimanfaatkan oleh pelaku kejahatan dalam pelanggaran data serta sumber daya yang terbuang sia-sia untuk memperbaiki kerentanan yang tidak berbahaya. Kemungkinan konsekuensi hukum akibat keterlambatan dalam memulihkan kerentanan.
Pejabat manajemen tingkat atas sering memandang program bug bounty sebagai solusi cepat dan efisien dalam mengungkap kelemahan keamanan via sistem pembayaran on-demand yang dapat dialihdayakan. Selain itu, beberapa program memberikan penekanan yang berlebihan pada nilai bounty dalam pendekatan keamanan yang komprehensif. Namun para pengambil keputusan mungkin dengan tergesa-gesa menyetujui program-program tersebut tanpa pertimbangan yang matang.
Apakah celah sebuah program dapat menyebabkan sebuah bencana bagi perusahaan ? Apa yang terjadi jika sebuah perusahaan menjadi terlalu bergantung pada program bug bounty untuk tujuan pengujian dan mengabaikan kerangka peraturan penting.
Menurut Neumann, pemeriksaan forensik baru baru ini mengungkap sebuah skenario dimana pemburu bug lalai dalam melaporkan kerentanan. Seorang penyerang kemudian mengeksploitasi kerentanan tersebut dua bulan kemudian, pengawasan tersebut telah mengakibatkan pencurian besar-besaran dan informasi sensitif para klien. Program yang berupaya mencegah kompromi keamanan tersebut telah gagal, hal ini menyebabkan perusahaan dan kliennya rentan terhadap kerusakan yang tidak terhitung jumlahnya. Biasanya seorang bug hunter akan dapat menemukan bug di sebuah produk dari perusahaan terkait, setelah menemukan bug tersebut, para pemburu ini perlu mengisi laporan yang telah disediakan oleh perusahaan dengan berbagai rincian detail seperti : bug jenis apa, bagaimana pengaruhnya terhadap sebuah produk, dan tingkat keparahan dari bug tersebut, dll.
Setelah mengisi laporan, bug hunter perlu menyertakan langkah-langkah serta detail utama bug tersebut dalam membantu tim developer perusahaan dalam mereplikasi dan memvalidasi bug tersebut. Setelah dikonfirmasi oleh pihak perusahaan, maka bayaran yang pantas akan diberikan kepada bug hunter sebagai sebuah bentuk apresiasi. Namun seringkali, uang bukan sebagai alasan utama mengapa para bug hunter ingin mengikuti program ini, ini adalah sebuah pencapaian serta ilmu marketing di komunitas terkait agar mendapatkan sebuah pengakuan sosial bagi siapa yang berhasil.
Bagaimana kalau di Taiwan ?
Kegiatan bug hunter ini tergolong sebagai sebuah komunitas yang relatif kecil, dengan para penggiat muda yang kian marak seiring perkembangan zaman. Tidak heran apabila guna merangkul para perusahaan besar yang mencari tingkat keamanan terbaik bagi produk mereka sendiri dan komunitas peretas, maka demi menjalin hubungan yang baik acara HITCON Pacific yang diselenggarakan oleh Asosiasi Peretas Taiwan ( HITCON ) rutin diadakan setiap tahunnya. Berbagai perusahaan yang bergerak di sektor finansial, telekomunikasi, pertahanan nasional, teknologi tinggi, e-commerce skala besar serta tim keamanan pemerintah diundang untuk berpartisipasi dalam acara tahunan ini.
demi menyuguhkan acara yang lebih realistis dan seru, vendor keamanan ternama internasional diundang secara eksklusif untuk memberikan keamanan dengan total nilai pertanggungan peralatan sebesar 150 juta NTD demi menciptakan lingkungan perusahaan yang nyata sehingga setiap orang dapat mempraktekkan sekadar basa-basi.
HITCON adalah sebuah event tahunan yang sangat terkenal di kalangan peretas internasional, sekaligus juga sebagai konferensi internasional dengan skala besar yang dipercaya akan semakin luas dan besar. Selain dari mempertemukan semua peretas dunia, acara ini juga diisi dengan berbagai kegiatan komunikasi langsung di tingkat petugas informasi perusahaan dan petugas keamanan informasi.
Bersambung di pekan depan, pantau terus yows..
