Blog


버그바운티 클럽이 전해드리는 이야기를 확인하세요.



[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2022년 7월

국내 최초의 버그바운티 플랫폼 해킹존이 법인을 설립하고 서비스명을 "파인더갭"으로 새로 변경하였습니다. 처음에는 파인더갭(Find the gap)을 "차이를 찾아라"라는 뜻으로 보고 버그바운티와 어떤 연결점이 있을까? 어떤 의미에서 저렇게 정했을까? 라는 의문이 생기기도 했습니다. 저도 얼마 전 기사를 보고 알게 되었지만 아래와 같은 의미를 갖고 있다고 합니다.새로운 서비스명 ‘파인더갭’은 영국 지하철에 표기된 마인더갭에서 착안한 것으로 단순히 틈을 조심하는 차원에서 더 나아가 적극적으로 틈을 찾겠다는 의미를 담고 있다. (출처:보안뉴스)서비스명의 진정한 의미를 알고나니 좀 근사하게 느껴지네요. 파인더갭이 서비스명에 걸맞게 우리나라 소프트웨어 보안의 틈을 찾아 튼튼히 메꾸어 줄 수 있는 버그바운티 플랫폼으로 거듭나길 바라며 아울러 우리나라 버그바운티 업계 활성화에 큰 기여를 해주었으면 좋겠습니다. 버그바운티 플랫폼 해킹존, ‘파인더갭’으로 서비스명 변경얼마 전 정보통신산업진흥원 주관의 2022 오픈소스 컨트리뷰션 아카데미 대회에 Project Discovery 프로젝트가 선정되어 멘티 모집을 마감하였습니다. Project Discovery는 버그바운티에서 활용도가 높은 오픈소스 보안도구로 자산 식별 파트와 식별된 자산에 대한 취약점 스캔 파트로 구성되며 전 세계의 버그 헌터나 보안연구원의 기여에 의해 유지되고 발전되고 있습니다. 이번 대회를 통해 기여할 수 있는 부분은 크게 번역, 버그 수정, 기능 개발 등이라고 합니다. 오픈소스에 기여하는 취지의 대회인만큼 그 의미가 남다르다고 할 수 있는데 버그바운티클럽의 운영자로 계신 분께서 멘토로 활동하시니 더욱 기대가 됩니다. 멘티 모집은 이미 종료되었지만 관심있으신 분께서는 아래 링크를 통해 프로젝트에 대한 정보를 확인하실 수 있습니다."Procject Discovery" 프로젝트 소개록빗(LockBit)이라는 랜섬웨어를 통해 범죄를 일삼는 집단이 다크웹에서 최신 버전 공개와 함께 버그바운티를 실시한다고 발표했습니다. 포상으로는 고위층 인사의 신상정보와 취약점 익스플로잇을 준다고 하네요. 윤리의식이 탑재되어있는 해커는 알아서 제낄테고 결국 본인들과 같은 빌런들이 참여할 가능성이 높은데 빌런들끼리 무슨 신뢰가 있다고 취약점을 찾게 놔두고 포상을 한다는 건지 참으로 어이없고 기가 찰 노릇입니다. 요즘 제일 잘 나가는 랜섬웨어 록빗, 다크웹 사상 최초 버그바운티도 시작2022년 7월 국내 버그바운티 프로그램※ 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다. ■ 신규 프로그램: 0건■ 기존 프로그램: 10건마인리스트제공 플랫폼: 버그캠프기간: 2022년 5월 3일 - 최대 포상금: 200,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4f41604ba0d60125bd15d0ad5f90c27cBIFROST제공 플랫폼: 패치데이기간: 2022년 2월 7일 - 2023년 2월 7일  최대 포상금: 50,000,000원타겟 시스템 유형: BiFi, BiFi X, BiFi BTC Extension 스마트 컨트랙트의 최신버전 소스코드프로그램 URL: https://patchday.io/bifrost-pilab/bifrostKlaytn Blockchain제공 플랫폼: 패치데이기간: 2022년 1월 12일 - 2023년 1월 12일  최대 포상금: 50,000,000원타겟 시스템 유형: Klaytn 노드 및 스마트 컨트랙트의 소스코드, 블록체인 노드프로그램 URL: https://patchday.io/klaytn/klaytn-blockchainCodeEngn 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 10일 - 최대 포상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab 한국CISSP협회 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 7일 -최대 포상금: 100,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908Remote Browser제공 플랫폼: 버그캠프기간: 2021년 7월 21일 -최대 포상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 -최대 포상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443dNaver Whale제공 플랫폼: 패치데이기간: 2021년 10월 25일 - 2022년 10월 25일최대 포상금: USD $7,500타겟 시스템 유형: 소프트웨어(네이버 웨일브라우저)프로그램 URL: https://patchday.io/naver/naver-whalePatchDay제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 2022년 10월 5일 최대 포상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/patchday/Dreamhack제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 2022년 10월 5일최대 포상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/dreamhack
 2022-06-30 11:30 KST      4331

[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2022년 6월

5월에는 해외 소식이지만 반가운 뉴스가 하나 있네요. 美 법무부, 윤리적 해커 컴퓨터 사기·악용으로 기소 안 한다미국 법무부에서 개인 프라이버시 보호와 사이버 보안 향상의 목적을 갖고 행하는 선의의 보안 연구는 더 이상 기소 대상이 아님을 공식적으로 밝혔다고 합니다. 다만 보안 연구를 내세워 개인이나 기업에 피해를 입힌 경우에는 선의의 보안 연구에 해당되지 않는다고 하니 버그바운티를 하시는 보안연구원분들은 룰을 숙지하고 정확히 준수하여 괜히 법적 분쟁에 휘말리지 않도록 해야겠습니다. 지난 달 국내 버그바운티 업계에서는 해킹존에서 4월말 오픈되어 운영되던 한 건의 프로그램이 조기 종료되는 해프닝이 있었습니다. 그 외 흥미로웠던 뉴스는 중소기업 보안 강화를 위한 무료 컨설팅 서비스 "화이트햇 투게더"를 KISA와 CJ올리브네트웍스, 그리고 파인더갭에서 시행한다는 것이었습니다. 물론 버그바운티 홍보 목적도 있겠지만 중소기업 거래처를 통해 대기업의 보안이 뚫린 사건이 다수 있었습니다. 대기업에 비해 상대적으로 보안에 투자하기 힘든, 그래서 더욱 해킹 공격 위험에 노출되는 중소기업에 관심을 갖고 보안 강화 서비스를 추진하는 것은 분명 긍정적인 모습이네요. 파인더갭이 무엇인가 했더니 해킹존의 버그바운티플랫폼 명칭이 "파인더갭"으로 곧 변경된다고 합니다. 암튼 상대적으로 조용하게 지난 한 달이 지나온 것 같습니다. 딱히 전할 소식도 없고 하니 바로 6월에 유효한 버그바운티 프로그램을 보시죠.2022년 6월 국내 버그바운티 프로그램※ 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다. ■ 신규 프로그램: 0건■ 기존 프로그램: 9건BIFROST제공 플랫폼: 패치데이기간: 2022년 2월 7일 - 2023년 2월 7일  최대 포상금: 50,000,000원타겟 시스템 유형: BiFi, BiFi X, BiFi BTC Extension 스마트 컨트랙트의 최신버전 소스코드프로그램 URL: https://patchday.io/bifrost-pilab/bifrostKlaytn Blockchain제공 플랫폼: 패치데이기간: 2022년 1월 12일 - 2023년 1월 12일  최대 포상금: 50,000,000원타겟 시스템 유형: Klaytn 노드 및 스마트 컨트랙트의 소스코드, 블록체인 노드프로그램 URL: https://patchday.io/klaytn/klaytn-blockchainCodeEngn 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 10일 - 최대 포상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab 한국CISSP협회 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 7일 -최대 포상금: 100,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908Remote Browser제공 플랫폼: 버그캠프기간: 2021년 7월 21일 -최대 포상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 -최대 포상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443dNaver Whale제공 플랫폼: 패치데이기간: 2021년 10월 25일 - 2022년 10월 25일최대 포상금: USD $7,500타겟 시스템 유형: 소프트웨어(네이버 웨일브라우저)프로그램 URL: https://patchday.io/naver/naver-whalePatchDay제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 2022년 10월 5일 최대 포상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/patchday/Dreamhack제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 2022년 10월 5일최대 포상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/dreamhack
 2022-05-31 14:09 KST      3058

[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2022년 5월

  4월에는 해킹존에서 "타임디펜던스"와 "제주패스"의 버그바운티 프로그램 두 건을 신규로 시작했습니다. 또한 해킹존은 서비스 개편을 통해 제보된 보안 취약점의 보안 패치가 적절하게 이루어졌는지 확인하는 이행점검 프로세스를 추가하였습니다. 이 외에도 반응형 웹을 적용해 모바일 환경에서의 사용성을 향상시켰고, 보상금 출금이 가능한 월렛 기능이나 보안연구원이 자신만의 팀을 구성하고 팀단위 실적을 확인할 수 있는 팀플레이라는 새로운 기능들을 선보였습니다. 이행점검 프로세스는 무척이나 인상깊은 부분입니다. 보안 연구원은 제보한 취약점에 대한 포상금을 지급받았다고해서 기업과의 커넥션을 끝내지 않고 끝까지 기업과 소통하며 취약점 패치에 노력해야 합니다. 혹시 이행점검을 성실히 수행한 보안연구원에게는 해당 기업에서 좋은 평판을 주고 평판이 우수한 보안 연구원에게 향후 비공개 프로그램에 초대를 한다거나 하는 시스템이 있는지 모르겠으나 없다면 생겼으면 좋겠군요. 또 팀플레이 기능은 버그바운티에 아직 확신을 갖지 못하거나 보다 안전하고 효과적인 방법, 즉 프라이빗(비공개) 프로그램으로 버그바운티 프로그램 운영을 시작해보고자 하는 국내 기업들의 인식과 상황이 반영된 듯 합니다. 국내 실정에 적응해가며 기업 유치를 위해 플랫폼이 변해가는 모습은 긍정적으로 봐야 할 것 같습니다. 사실 일단 프라이빗으로 시작한 후 자산의 보안성이 일정 기대 수준에 미치게 되면 퍼블릭으로 전환하는 건 해외에서도 자주 발생하는 일입니다. 다만 현재 이 기능은 개인별 활동을 팀단위로 단순 실적 집계를 한 것으로 보이는데 팀플레이라는 이름에 걸맞게 보안 연구원의 팀 단위 활동을 지원하는 다양한 기능들(예를 들면 해커원의 취약점별 공헌도에 따른 포상금 분배 등)도 갖추어지면 좋을 듯 하고 팀 활동을 하지 않는 개인에게도 프라이빗 프로그램 참여 기회가 공정하고 공평하게 주어지길 기대해봅니다. 버그캠프에서 22년 3월부터 시작되었던 최신 프로그램 한 건을 포함해 운영 중이였던 몇 개의 프로그램이 중단되었습니다. 프로그램 시행 기간에 종료일자가 별도 게시되지 않았던 프로그램들이라 갑작스럽게 중단된 배경이나 이유가 조금은 궁금하네요. 다만 프로그램을 중단한 기업들이 버그바운티의 효과성에 대해 긍정적인 인식을 갖게 된 계기였길 바랍니다. 2022년 5월 국내 버그바운티 프로그램※ 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다. ■ 신규 프로그램: 1건제주패스 (중지됨)제공 플랫폼: 해킹존기간: 2022년 4월 25일 - 2022년 5월 13일 (제주패스측 요청으로 4/29부 중지)최대 포상금: 1,000,000원타겟 시스템 유형: 웹프로그램URL: https://hackingzone.net/program/VTJGc2RHVmtYMTg3WHlZbHlqMkJkbERkV2lkMSs3V2Zia3FraE1IVVluVmdGQlg1K3NabXFsakRiWGM4S0czMA==/detail (로그인 후 확인 가능)타임디펜던스제공 플랫폼: 해킹존기간: 2022년 4월 20일 - 2022년 5월 14일최대 포상금: PoC 프로그램으로 포인트(최대 100P) 지급타겟 시스템 유형: 게임프로그램URL: https://hackingzone.net/program/VTJGc2RHVmtYMThUZkxlajFua0F3dTUrb0RuTFlWamFDQUswWmlsTWxvRm9qZkh6c01MN3RZUDhYdXU3dCtCaQ==/detail (로그인 후 확인 가능)■ 기존 프로그램: 12건BIFROST제공 플랫폼: 패치데이기간: 2022년 2월 7일 - 2023년 2월 7일  최대 포상금: 50,000,000원타겟 시스템 유형: BiFi, BiFi X, BiFi BTC Extension 스마트 컨트랙트의 최신버전 소스코드프로그램 URL: https://patchday.io/bifrost-pilab/bifrostKlaytn Blockchain제공 플랫폼: 패치데이기간: 2022년 1월 12일 - 2023년 1월 12일  최대 포상금: 50,000,000원타겟 시스템 유형: Klaytn 노드 및 스마트 컨트랙트의 소스코드, 블록체인 노드프로그램 URL: https://patchday.io/klaytn/klaytn-blockchainSamsung SDS 웹사이트제공 플랫폼: 해킹존기간: 2021년 6월 30일 - 2022년 5월 31일 최대 포상금: 10,000,000원타겟 시스템 유형: 웹 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMThNWXg3OGRGNnltR3FGSEY4OURXeC9LRFZFK3kwVHdsbz0= (로그인 후 확인 가능)Samsung SDS 고객지원포탈제공 플랫폼: 해킹존기간: 2021년 6월 30일 - 2022년 5월 31일 최대 포상금: 10,000,000원타겟 시스템 유형: 웹 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMStXKys5NWxKRXFLUkpHbkdiQXQzODBDcVlQMUV6Wkxzbz0= (로그인 후 확인 가능)Samsung Smart Lock제공 플랫폼: 해킹존기간: 2021년 6월 30일 - 2022년 5월 31일 최대 포상금: 10,000,000원타겟 시스템 유형: 시판중인 Push Pull 도어록(12종) 외 관련 ‘삼성 스마트 도어록’ Mobile App 및 디바이스 플랫폼 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMStHUU44a015V2d5OGtVc0l6S24wNlEvU1c0bnNCQmR6Zz0= (로그인 후 확인 가능)CodeEngn 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 10일 - 최대 포상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab 한국CISSP협회 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 7일 -최대 포상금: 100,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908Remote Browser제공 플랫폼: 버그캠프기간: 2021년 7월 21일 -최대 포상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 부터최대 포상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443dNaver Whale제공 플랫폼: 패치데이기간: 2021년 10월 25일 - 최대 포상금: USD $7,500타겟 시스템 유형: 소프트웨어(네이버 웨일브라우저)프로그램 URL: https://patchday.io/naver/naver-whalePatchDay제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 포상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/patchday/Dreamhack제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 포상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/dreamhack
 2022-04-28 08:37 KST      3439

[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2022년 4월

2022년 4월을 위한 빅샷입니다. 몇 개의 소식을 전하면서 시작해 봅니다.과기정통부, 보안 취약점 정보포탈 서비스 개시[이미지: 사이버 보안 취약점 정보포탈 스크린샷]과기정통부에서 한국인터넷진흥원과 함께 "보안 취약점 정보포탈"을 개설하여 3월 24일부터 서비스를 개시하였습니다. 취약점 정보포탈은 국내·외 보안 취약점을 체계적으로 수집·관리하고 수집된 정보를 다양한 이용자가 편리하게 확인·개선하기 위한 목적으로 탄생했습니다. 지금까지는 취약점 정보가 각 소프트웨어 제조사의 홈페이지에 개별적으로 게시되어 이용자들이 취약점을 신속하게 확인하고 조치하는데 한계가 있었던 반면 이제는 여기저기 찾아다닐 것 없이 취약점 정보포탈을 통해 보안 공지나 취약점 정보를 한 번에 모아 볼 수 있도록 하여 이용자들의 편리성과 접근성을 향상시킨 점은 매우 긍정적으로 보입니다. 또한 "핵더챌린지" 플랫폼을 취약점 정보포탈내에서 운영함으로써 화이트해커를 통한 취약점 발굴부터 조치하기까지의 과정을 체계적으로 관리하여 사이버 위협에 대한 역량을 강화할 수 있을 것으로 보입니다.[이미지: 과학기술정보통신부]악명을 떨치고 있는 해킹 그룹, 랩서스(LAPSUS$)[이미지: 네이키드 시큐리티]지난 한 달동안 업계를 가장 떠들썩하게 한 이슈는 주요 IT기업들을 해킹하고 기밀 데이타를 공개한 랩서스(LAPSUS$) 해킹 그룹일 것입니다. 국내 기업인 삼성전자와 LG전자는 물론 마이크로소프트, 엔비디아를 비롯한 여러 글로벌 IT기업들이 이들의 해킹 수법에 속수무책으로 당했습니다. 이들은 SNS를 통해 적극적으로 활동하고 있지만 이들의 정보는 여전히 극히 제한적이며 유명세에 고무되어 향후 더 활발히 활동할 가능성이 높을 것으로 보고 있습니다. 이들은 해킹을 위해 사회공학기법에 유독 집중하는 모습을 보였는데요. 타겟이 되는 기업 직원이나 파트너사 직원들을 통해 자격증명을 구매하거나 헬프데스크에 직접 전화를 하여 추가 정보를 알아내기도 했습니다. 심지어 해킹을 당한 기업의 사고 대응을 위한 줌(Zoom) 미팅에 참여하여 동태를 살피고 조롱하는 등 매우 과감하고 뻔뻔한 방법을 이용했다고 합니다. 아무튼 랩서스가 어떤 해킹 그룹이고 무슨 활동을 해왔는지가 궁금하시다면 S2W의 블로그에서 Footsteps of the LAPSUS$ 글을 참고해보시기 바랍니다. 며칠 전 영국 경찰은 랩서스와 관련된 7명을 체포하여 조사하고 귀가 조치했다고 밝히고, 옥스포드에 거주하는 16세 소년이 랩서스의 주요 인물이라고 보고 있다고 밝혔지만 이에 랩서스는 텔레그램을 통해 랩서스 멤버 중 그 누구도 체포되지 않았다고 반박했다고 하네요. 해커원, 카스퍼스키 버그바운티 프로그램 중단[이미지: 해커원]해커원에서 시행 중이던 카스퍼스키(Kaspersky)의 버그바운티 프로그램이 무기한 중단되었습니다. 카스퍼스키는 러시아의 안티바이러스 프로그램 업체입니다. 해커원의 이러한 조치는 러시아의 우크라이나 침공으로 인한 미국의 금융제재에 따른 것으로 보여집니다. 카스퍼스키는 해커원이 어떠한 사전 통보도 없이 일방적으로 중단했다고 밝히며 해커원으로부터 중단된 이유를 명확히 듣지 못했다고 주장했습니다. 또한 해커원의 일방적인 행태를 용납할 수 없다고 비판했으나 개인적으로는 푸틴의 전쟁이 계속되는한 프로그램이 다시 열리진 않을 것 같네요. 2022년 4월 국내 버그바운티 프로그램※ 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다. ■ 신규 프로그램: 1건노르마 회사 홈페이지제공 플랫폼: 버그캠프기간: 2022년 3월 17일 -   최대 현상금: 1,000,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ee8a46bd9b7dd2882b2b41f6d6bc0db■ 기존 프로그램: 19건BIFROST제공 플랫폼: 패치데이기간: 2022년 2월 7일 - 2023년 2월 7일  최대 현상금: 50,000,000원타겟 시스템 유형: BiFi, BiFi X, BiFi BTC Extension 스마트 컨트랙트의 최신버전 소스코드프로그램 URL: https://patchday.io/bifrost-pilab/bifrostKlaytn Blockchain제공 플랫폼: 패치데이기간: 2022년 1월 12일 - 2023년 1월 12일  최대 현상금: 50,000,000원타겟 시스템 유형: Klaytn 노드 및 스마트 컨트랙트의 소스코드, 블록체인 노드프로그램 URL: https://patchday.io/klaytn/klaytn-blockchainSamsung SDS 웹사이트제공 플랫폼: 해킹존기간: 2021년 6월 30일 - 2022년 12월 31일 최대 현상금: 10,000,000원타겟 시스템 유형: 웹 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMThNWXg3OGRGNnltR3FGSEY4OURXeC9LRFZFK3kwVHdsbz0= (로그인 후 확인 가능)Samsung SDS 고객지원포탈제공 플랫폼: 해킹존기간: 2021년 6월 30일 - 2022년 12월 31일 최대 현상금: 10,000,000원타겟 시스템 유형: 웹 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMStXKys5NWxKRXFLUkpHbkdiQXQzODBDcVlQMUV6Wkxzbz0= (로그인 후 확인 가능)Samsung Smart Lock제공 플랫폼: 해킹존기간: 2021년 6월 30일 - 2022년 12월 31일 최대 현상금: 10,000,000원타겟 시스템 유형: 시판중인 Push Pull 도어록(12종) 외 관련 ‘삼성 스마트 도어록’ Mobile App 및 디바이스 플랫폼 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMStHUU44a015V2d5OGtVc0l6S24wNlEvU1c0bnNCQmR6Zz0= (로그인 후 확인 가능)엔큐리티제공 플랫폼: 버그캠프기간: 2021년 10월 12일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4be6ca31e4e7777e989d13efcf858c13(주)내스타일제공 플랫폼: 버그캠프기간: 2021년 10월 13일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42f84873c958644cb121e2a5af0d9457TARGOS제공 플랫폼: 버그캠프기간: 2021년 10월 19일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42a3639e491c069da8be40a8d15df4f5찜 어플리케이션제공 플랫폼: 버그캠프기간: 2021년 10월 24일 - 최대 현상금: 0원타겟 시스템 유형: 모바일프로그램 URL: https://bugcamp.io/programs/48059806ce94fc0184b9d61d491de51c주식회사 스패로우제공 플랫폼: 버그캠프기간: 2021년 10월 25일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/49e3c23aa416ca8aa6b21fdc0b933a3eCodeEngn 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 10일 - 최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab 한국CISSP협회 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 7일 -최대 현상금: 100,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908Remote Browser제공 플랫폼: 버그캠프기간: 2021년 7월 21일 -최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 부터최대 현상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443dNaver Whale제공 플랫폼: 패치데이기간: 2021년 10월 25일 - 최대 현상금: USD $7,500타겟 시스템 유형: 소프트웨어(네이버 웨일브라우저)프로그램 URL: https://patchday.io/naver/naver-whalePatchDay제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/patchday/Dreamhack제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/dreamhack수산아이엔티제공 플랫폼: 버그캠프기간: 2021년 10월 27일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4a35dad2cc737abcb5935dfd67c15759스마트 안심케어제공 플랫폼: 버그캠프기간: 2021년 11월 22일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/49b1cee7bb158f4ea9ebe4f7e74739e3
 2022-03-28 11:02 KST      1222

[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2022년 3월

안녕하세요. 벌써 3월을 눈 앞에 두고 있습니다. 요 며칠간 매섭게 춥더니 오늘 점심식사 시간에 밖을 나가 제법 따사로워진 햇살을 받으니 '이제 겨울도 물러가고 봄이 오는구나. 계절은 또 변하고 있구나' 하는 생각이 들더군요. 계절은 변하지만 저는 여느 때와 다름없이 개인적 관점에서 흥미로웠던 업계 소식을 정리하면서 2022년 3월을 위한 빅샷을 시작해봅니다.네이버, 구글의 버그바운티 포상금 지급액 발표먼저 국내 네이버에서는 버그바운티 어워드를 시행해 참가자 3명에게 시상을 했다고 합니다. 네이버는 2021년 한 해동안 166명이 버그바운티 프로그램에 참여하였고 총 1억 1600만원의 포상금을 지급했다고 전했습니다. 네이버, 작년 버그바운티 참가자 3명 시상‘네이버 버그바운티 어워드’..총 1.1억 포상해외에서는 버그바운티 프로그램의 대장격인 구글 또한 2021년 한 해동안 버그를 제보한 참가자들에게 870만 달러(한화로 약 100억원)를 지급했다고 구글 시큐리티 블로그에서 밝혔는데요. 제보된 버그 중 크롬과 안드로이드가 상당한 비중을 차지했으며 작년에 비해 취약점 개수도 증가했다고 합니다. 혼자 232개의 안드로이드 취약점을 제보한 Aman Pandey라는 인도의 한 보안연구원은 구글로부터 특별 감사와 함께 6500만 루피를 지급받았다고 합니다. 구글, 2021년 한 해 동안 보안 전문가들에 870만 달러 지급시상이나 특별 감사를 받은 분들은 물론 버그바운티를 통해 각자의 기준에서 의미있는 성과를 거두신 모든 분들께 축하와 박수를 보내고 싶습니다.버그바운티에 진심인 카르다노 블록체인블록체인 업계에서도 버그바운티에 적극 참여하고 있는 모양새인데요. 그 중에서도 보안성이 뛰어나다고 유명한 카르다노(ADA)는 버그바운티 금액을 두 배로 늘리며 취약점 찾기에 박차를 가하고 있습니다. 블록체인 업계의 버그바운티 금액이 상대적으로 높아 경험있고 실력있는 많은 보안연구원들이 블록체인 버그바운티에 시간을 할애할 것 같네요.Cardano responds to DeFi hacks doubling its bug bounty for security vulnerabilities국내에서도 클레이튼에 이어 BIFROST가 국내 버그바운티 플랫폼 패치데이를 통해 버그바운티 프로그램을 신규로 시행했습니다. 아래 국내 버그바운티 프로그램 섹션에서 BIFROST 버그바운티 프로그램을 확인해보실 수 있습니다. 구글과 MS, OpenSSF의 알파-오메가 프로젝트 참여버그바운티 소식은 아니지만 작년 12월에 터졌던 Log4Shell 사건은 우리가 잊고 있었던 오픈소스 보안에 다시금 화두를 던졌습니다. 이젠 오픈소스 보안에 대해 가볍게 생각말고 진지하게 받아들일 시기이고 이미 세상은 움직이고 있습니다. 구글과 마이크로소프트는 오픈소스 소프트웨어 공급망의 보안 강화를 위해 많은 활동을 하는 오픈소스 보안재단(OpenSSF)의 알파-오메가 프로젝트에 참여한다고 합니다. MS·구글, Log4j 등 오픈소스 보안개선 앞장구글, MS.. 두 형님의 파워를 믿습니다. 2022년 3월 국내 버그바운티 프로그램※ 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다. ■ 신규 프로그램: 1건BIFROST제공 플랫폼: 패치데이기간: 2022년 2월 7일 - 2023년 2월 7일  최대 현상금: 50,000,000원타겟 시스템 유형: BiFi, BiFi X, BiFi BTC Extension 스마트 컨트랙트의 최신버전 소스코드프로그램 URL: https://patchday.io/bifrost-pilab/bifrost■ 기존 프로그램: 18건Samsung SDS 웹사이트제공 플랫폼: 해킹존기간: 2021년 6월 30일 - 2022년 12월 31일 최대 현상금: 10,000,000원타겟 시스템 유형: 웹 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMThNWXg3OGRGNnltR3FGSEY4OURXeC9LRFZFK3kwVHdsbz0= (로그인 후 확인 가능)Samsung SDS 고객지원포탈제공 플랫폼: 해킹존기간: 2021년 6월 30일 - 2022년 12월 31일 최대 현상금: 10,000,000원타겟 시스템 유형: 웹 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMStXKys5NWxKRXFLUkpHbkdiQXQzODBDcVlQMUV6Wkxzbz0= (로그인 후 확인 가능)Samsung Smart Lock제공 플랫폼: 해킹존기간: 2021년 6월 30일 - 2022년 12월 31일 최대 현상금: 10,000,000원타겟 시스템 유형: 시판중인 Push Pull 도어록(12종) 외 관련 ‘삼성 스마트 도어록’ Mobile App 및 디바이스 플랫폼 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMStHUU44a015V2d5OGtVc0l6S24wNlEvU1c0bnNCQmR6Zz0= (로그인 후 확인 가능)엔큐리티제공 플랫폼: 버그캠프기간: 2021년 10월 12일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4be6ca31e4e7777e989d13efcf858c13(주)내스타일제공 플랫폼: 버그캠프기간: 2021년 10월 13일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42f84873c958644cb121e2a5af0d9457TARGOS제공 플랫폼: 버그캠프기간: 2021년 10월 19일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42a3639e491c069da8be40a8d15df4f5찜 어플리케이션제공 플랫폼: 버그캠프기간: 2021년 10월 24일 - 최대 현상금: 0원타겟 시스템 유형: 모바일프로그램 URL: https://bugcamp.io/programs/48059806ce94fc0184b9d61d491de51c주식회사 스패로우제공 플랫폼: 버그캠프기간: 2021년 10월 25일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/49e3c23aa416ca8aa6b21fdc0b933a3eCodeEngn 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 10일 - 최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab 한국CISSP협회 대표 홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 7일 -최대 현상금: 100,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908Remote Browser제공 플랫폼: 버그캠프기간: 2021년 7월 21일 -최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 부터최대 현상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443dNaver Whale제공 플랫폼: 패치데이기간: 2021년 10월 25일 - 최대 현상금: USD $7,500타겟 시스템 유형: 소프트웨어(네이버 웨일브라우저)프로그램 URL: https://patchday.io/naver/naver-whalePatchDay제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/patchday/Dreamhack제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/dreamhack수산아이엔티제공 플랫폼: 버그캠프기간: 2021년 10월 27일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4a35dad2cc737abcb5935dfd67c15759스마트 안심케어제공 플랫폼: 버그캠프기간: 2021년 11월 22일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/49b1cee7bb158f4ea9ebe4f7e74739e3Klaytn Blockchain제공 플랫폼: 패치데이기간: 2022년 1월 12일 - 2023년 1월 12일  최대 현상금: 50,000,000원타겟 시스템 유형: Klaytn 노드 및 스마트 컨트랙트의 소스코드, 블록체인 노드프로그램 URL: https://patchday.io/klaytn/klaytn-blockchain
 2022-02-24 10:31 KST      1536

[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2022년 1월

12월 한달 간 해킹과 관련된 사건/사고의 이슈를 꼽자면 단연 Log4j 제로데이 RCE 취약점(CVE-2021-44228)일 것입니다. 보안담당자는 물론이거니와 IT와 관련된 업무나 공부를 하고 계신 분들은 아마 낯설지 않을 것 입니다. 이 취약점은 Log4Shell이라는 이름으로 불리기도 하며 CVSS 10점의 심각도 최고 수준으로 평가 받았습니다. 공격의 대상이 되는 log4j는 전세계 대다수의 대기업과 정부기관에서 사용하고 있어 공격의 파급력 또한 상당하다고 볼 수 있습니다. Log4j 취약점은 아파치 서버의 Log4j에 존재하는 JNDI 인젝션 취약점으로 이 취약점을 악용하면 공격자는 서버에서 악의적인 원격 코드를 실행할 수 있으며 공격 과정 또한 상대적으로 쉬우므로 현재도 활발히 공격이 진행되고 있습니다. 이미 국내외의 많은 기관과 매체에서 위험성을 알리며 대책을 강구하고 있으며 계속해서 긴급 패치를 내놓고 있으나 공격자들은 패치를 우회하며 공격 방식을 진화시키고 있는 실정인 듯 하네요. 기업이나 공공기관들은 내부적으로 Log4j가 사용되는 시스템을 일일이 찾아내는 것도 쉽지 않은 일이며 계속해서 진화하는 공격 방식에 일일이 대응하기에는 역부족이라고 말하며 이번 사태가 매우 심각한 상황임을 증명했습니다. 안타깝게도 현재로써는 Log4j 취약점은 근시일내에 진화될 것 같아 보이지 않습니다.하지만 Log4j 취약점이 공개된 이후 전세계의 버그바운티 헌터들도 트위터나 블로그를 통해 테스트 가이드를 공유해가며 발빠르게 움직이고 있습니다. 아래는 인터넷에서 공유되고 있는 자료이니 참고해보세요.Log4shell Zero-Day Exploit— Full GuideLog4Shell Remediation Cheat SheetLog4Shell Mindmap 실제로 PortSwigger의 Daily Swig에 올라온 글에 따르면 HackerOne, Bugcrowd 등의 버그바운티 플랫폼을 통해 수천건의 Log4j 취약점 보고서가 제출되고 평가되었다고 합니다."버그가 공개된 지 2주가 채 되지 않아 500명 이상의 해커가 HackerOne에서만 400개 이상의 프로그램에서 1,700개에 가까운 보고서를 제출했다고 Daily Swig에 말했습니다. 플랫폼에 따르면 "초기 피크" 제출일에 해커의 거의 30%가 밤쉘(BombShell) 버그라는 별명이 붙은 'Log4Shell'과 관련된 취약점 보고서를 제출했습니다. HackerOne의 관련 지불금은 지금까지 총 $249,500입니다. 미국에 본사를 둔 동종 플랫폼 Bugcrowd는 위기가 발생한 이후 수천 건의 Log4j 관련 제출을 검증하고 분류 했다고 말했습니다. 파리에 기반을 둔 버그 현상금 플랫폼 YesWeHack은 12월 9일 Log4Shell이 ​​공개된 후 첫 주 동안 140건의 보고서를 받았다고 말합니다. 공개 후 주말 동안 또 다른 유럽의 버그바운티 플랫폼 Intigriti는 130개 이상의 보고서를 평가했다고 말했습니다."  (구글 번역 이용)(원문 링크: Bug bounty platforms handling thousands of Log4j vulnerability reports) HackerOne의 Log4Shell 제출 추이와 관련된 트윗 (12/21 일자 트윗) 또한 버그바운티 헌터가 주로 사용하는 ZAP이나 BurpSuite 프록시에도 관련 룰이나 도구를 빠르게 추가하면서 버그바운티 헌터들이 Log4Shell 취약점을 보다 수월하게 찾을 수 있도록 했습니다. 이번 사태를 통해 떠오르는 생각은 조직의 내부 인력과 자원의 한계가 명백한 상황에서는 버그바운티가 사태 해결의 부담을 일부 덜어줄 수도 있을 수 있겠다는 것입니다. 물론 조직이 포상금을 줄 수 있는 자금력이 충분하느냐는 문제가 있긴 하지만 이번과 같은 전 세계적 긴급 상황에서는 버그바운티 헌터들도 금전적 이익은 뒤로 한채 사회 공헌 차원에서 자기의 시간을 선뜻 내어주고 감사 인사에 보람을 느끼는 버그바운티 헌터들도 많이 있을테니까요. 여하튼 버그바운티를 통해 전 세계에 걸쳐있는 수천, 수만의 선의의 해커 집단을 활용하면 Log4Shell 사태를 좀 더 빠르고 효과적으로 대응할 수 있지 않을까 생각해봅니다. Log4Shell과 오미크론의 위협속에서도 여러분의 성탄절과 연말은 반드시 즐겁고 행복하시길 바랍니다. 2022년 1월 국내 버그바운티 프로그램※ 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다. ■ 신규 프로그램: 0건※ 정식 신규 프로그램은 없으며 해킹존에서 크리스마스를 맞아 이벤트 프로그램을 진행합니다.     Hackingzone X-MAS {CAPTURE THE BUG} (이벤트 상세내용은 해킹존 홈페이지에서 확인)■ 기존 프로그램: 14건엔큐리티제공 플랫폼: 버그캠프기간: 2021년 10월 12일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4be6ca31e4e7777e989d13efcf858c13(주)내스타일제공 플랫폼: 버그캠프기간: 2021년 10월 13일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42f84873c958644cb121e2a5af0d9457TARGOS제공 플랫폼: 버그캠프기간: 2021년 10월 19일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42a3639e491c069da8be40a8d15df4f5찜 어플리케이션제공 플랫폼: 버그캠프기간: 2021년 10월 24일 - 최대 현상금: 0원타겟 시스템 유형: 모바일프로그램 URL: https://bugcamp.io/programs/48059806ce94fc0184b9d61d491de51c주식회사 스패로우제공 플랫폼: 버그캠프기간: 2021년 10월 25일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/49e3c23aa416ca8aa6b21fdc0b933a3eCodeEngn제공 플랫폼: 버그캠프기간: 2021년 6월 10일 - 최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab 한국CISSP협회 대표홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 7일 -최대 현상금: 100,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908Remote Browser제공 플랫폼: 버그캠프기간: 2021년 7월 21일 -최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 부터최대 현상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443dNaver Whale제공 플랫폼: 패치데이기간: 2021년 10월 25일 - 최대 현상금: USD $7,500타겟 시스템 유형: 소프트웨어(네이버 웨일브라우저)프로그램 URL: https://patchday.io/naver/naver-whalePatchDay제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/patchday/Dreamhack제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/dreamhack수산아이엔티제공 플랫폼: 버그캠프기간: 2021년 10월 27일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4a35dad2cc737abcb5935dfd67c15759스마트 안심케어제공 플랫폼: 버그캠프기간: 2021년 11월 22일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/49b1cee7bb158f4ea9ebe4f7e74739e3
 2021-12-23 08:29 KST      1194

[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2021년 12월

해킹 사건/사고는 비일비재하게 일어나고 있지만 11월에 관심을 끌었던 사고가 몇 개 있었습니다.하나는 우리나라 월패드 업계의 보안 수준을 여실히 보여주는 사건입니다. 기사를 접하신 분들은 짐작하셨을 것입니다. 바로 국내 아파트 월패드 해킹 사건입니다. 누구에게나 가장 프라이빗하고 평안한 공간이어야 하는 집이 무방비로 뚫려버려 우리나라 국민들이 졸지에 트루먼쇼의 주인공이 되어 버렸습니다. 국내 아파트 월패드 해킹 영상정부에서는 월패드 업계와 4년 전부터 망분리를 포함한 '지능형 홈네트워크 설비 설치 및 기술기준'의 개정을 시도해오고 있었던 모양이나 비용 증가를 이유로 월패드 업계는 이에 반발하면서 이도저도 못하고 있었던 상황이었나보네요. 홈 네트워크와 같은 사물인터넷(IoT)에는 보안이 매우 중요한 절대적 가치라는 사실을 그들도 매우 잘 알텐데 왜 꼭 사고가 터져야만 움직일까요? 진상을 더 조사해봐야겠지만 만일 해킹 사실이 진실이라면 본인들 잇속 챙기느라 지켜져야할 국민의 사생활을 내패대기 치고 해커의 손에 넘겨준 관련자들에 대해서는 엄중히 책임을 물어야 할텐데요. 정말 울화가 치밀어 오르네요. 전국 아파트 CCTV 해킹, 다크웹서 800만원에 팔린다'국내 월패드 해킹 아파트 명단' 떠돌아…알몸·성관계 모습 유출 우려아파트 사생활 영상 유출 논란…정부, 월패드 망분리 의무화 재추진골드스푼(금수저) 앱 해킹 사건도 있었습니다.한 20대 해커가 금수저들만 가입이 가능하다는 골드스푼 앱을 해킹하고 여성 회원의 정보를 유출한 사건이 있었습니다. 기사를 보기 전까진 이런 앱이 있다는 사실도 몰랐네요. 금수저가 아니니 당연히 모를 수밖에 없겠죠?골드스푼 가입 기준 (골드스푼 홈페이지 캡쳐)아무튼 해킹을 통해 빼낸 정보를 이용해 업체에 25억의 가상화폐를 요구한 해커... 모쪼록 죄값을 다 치르고 모든 기술은 선행에 사용할 때 비로소 그 가치가 빛을 발한다는 걸 깨닫고 반성하길 바랍니다. 그나저나 범행을 저지른 해커는 IT 개발자이고 골드스푼 앱에 회원으로 가입이 되어있었다고 하는데요. 개발자인 이 해커는 도대체 어떻게 골드스푼에 가입이 가능했을지 의문이었습니다. 네카라쿠배로 인해 요즘 개발자 연봉이 예전보다 나아졌다고 하는데 실력있는 개발자라 연봉을 많이 받는 걸까요? 아니면 부모님이 재력가였을까요? 아니면 가입마저도 해킹을 통해 한 걸까요? ‘상위 1% 데이팅앱’ 골드스푼 해킹한 IT 개발자 검거'금수저만 가입' 데이팅앱 회원정보 몰래 빼낸 해커의 반전 정체잠시 눈을 돌려 해외의 버그바운티 소식을 봅시다. 역시 안타까운 소식이 있었습니다. 마이크로소프트사가 버그바운티 포상금 액수를 줄인 것에 불만을 품은 한 버그헌터가 윈도우11, 윈도우10 등에서 발견된 제로데이 로컬 권한상승 취약점을 공개한 사실이 있었습니다. 마이크로소프트사의 이같은 결정은 많은 버그 헌터들 사이에 불만이라고 하네요. 그렇다고 제로데이 취약점 공개를 하다니... 흠.. 아무튼 구글이나 GitLab과 같은 회사가 점진적으로 버그바운티 포상금을 늘려가고 있는 사실과는 상당히 대조적입니다. New Windows zero-day with public exploit lets you become an admin2021년 12월 국내 버그바운티 프로그램※ 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다. ■ 신규 프로그램: 3건Samsung TV App 관리를 위한 Seller Office 웹사이트제공 플랫폼: 해킹존기간: 2021년 11월 17일 - 2021년 12월 31일최대 현상금: 20,000,000원타겟 시스템 유형: 웹프로그램 URL: https://hackingzone.net/ProgramDetail/39수산아이엔티제공 플랫폼: 버그캠프기간: 2021년 10월 27일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4a35dad2cc737abcb5935dfd67c15759스마트 안심케어제공 플랫폼: 버그캠프기간: 2021년 11월 22일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/49b1cee7bb158f4ea9ebe4f7e74739e3■ 기존 프로그램: 13건엔큐리티제공 플랫폼: 버그캠프기간: 2021년 10월 12일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4be6ca31e4e7777e989d13efcf858c13(주)내스타일제공 플랫폼: 버그캠프기간: 2021년 10월 13일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42f84873c958644cb121e2a5af0d9457TARGOS제공 플랫폼: 버그캠프기간: 2021년 10월 19일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42a3639e491c069da8be40a8d15df4f5찜 어플리케이션제공 플랫폼: 버그캠프기간: 2021년 10월 24일 - 최대 현상금: 0원타겟 시스템 유형: 모바일프로그램 URL: https://bugcamp.io/programs/48059806ce94fc0184b9d61d491de51c주식회사 스패로우제공 플랫폼: 버그캠프기간: 2021년 10월 25일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/49e3c23aa416ca8aa6b21fdc0b933a3eCodeEngn제공 플랫폼: 버그캠프기간: 2021년 6월 10일 - 최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab 한국CISSP협회 대표홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 7일 -최대 현상금: 100,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908Remote Browser제공 플랫폼: 버그캠프기간: 2021년 7월 21일 -최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 부터최대 현상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443dNaver Whale제공 플랫폼: 패치데이기간: 2021년 10월 25일 - 최대 현상금: USD $7,500타겟 시스템 유형: 소프트웨어(네이버 웨일브라우저)프로그램 URL: https://patchday.io/naver/naver-whalePatchDay제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/patchday/Dreamhack제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/dreamhack
 2021-11-29 09:05 KST      1233

[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2021년 11월

10월 25일 11시 20분경... 정말이지 황당무개한 사건이 있었습니다. 바로 KT발 인터넷 장애 입니다. KT에서 제대로 사고 한번 친거죠. 당일 점심식사 시간이 다 되어 식당 앞에서 QR코드 체크인을 하던 중 QR코드가 뜨지 않아 네이버, 카카오톡 등 QR코드 체크인이 지원되는 설치된 어플에서 모두 시도해보았지만 되지 않아 결국 방문일지에 수기 작성을 했었는데요. 몇 분 후 KT 유,무선 인터넷 장애임을 알았고 그 순간 깊은 빡침이 밀려왔었네요. KT 사용자분들은 모두 저와 같은 심정이셨을 거라 생각합니다.사건 발생 후 초반에는 KT에서 DDoS 공격이 원인이라 밝혔다가 불안감만 증폭시키고 3시간만에 라우팅 설정 오류라고 원인을 정정했었죠. 제대로 원인 파악도 안된 채로 이렇게 국민에게 성급히 알린 행태도 맘에 안들지만 라우팅 설정 오류라는 원인도 업계에서는 인터넷 사용 피크타임 때 라우팅 설정 작업이 말이 되느냐며 납득할 수 없다는 의견이 많군요. 이에 대해서는 KT에서 세부 답변을 통해 명백하게 밝혀주어야 할 듯 합니다. 인터넷 강국 대한민국의  3대 통신사 중 하나에서 이런 일이 발생했다는 사실은.. .음... 좀.... 암튼 더 말해 무엇하겠습니까?KT 인터넷 장애 건은 KT의 대응을 더 지켜볼 일이고 버그바운티 업계에서는 무슨 일이 있었을까요?국내에서는 티오리의 버그바운티 플랫폼 "패치데이"가 신규 오픈했습니다. 10월 중순에 출시를 하겠다는 티오리측의 기사를 본 적이 있어 수시로 확인을 해왔었는데 별다른 기사 보도도 없이 예정대로 출시가 되었습니다. 기존 해킹존, 버그캠프 그리고 패치데이까지 가세해 버그바운티 프로그램 목록이 더욱 다양해질 것 같아 무척 기대가 됩니다.박세준 티오리 "해커 실력 상향평준화 '시급'…자체 육성 목표"또한 꾸준히 시행되고 있는 KISA의 "핵 더 챌린지" 대회가 시작됩니다. KISA, 취약점 찾아라! ‘핵 더 챌린지’ 화이트해커 모집해외에서는 버그바운티의 효과를 가장 톡톡히 보고 있으며 Bughunter University 설립을 통해 구글의 버그를 신고하거나 해킹 기술을 연마하고 배울 수 있도록 지원하고 있는 구글에서 안드로이드 엔터프라이즈용 버그바운티 프로그램을 출시하였습니다. 놀라운 점은 최대 상금을 무려 USD $250,000로 설정하였다는 사실입니다.  Google launches a bug bounty program for Android Enterprise2021년 11월 국내 버그바운티 프로그램※ 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다. 지난 달의 신규 프로그램 출시 건수는 그야말로 암울했습니다. 하지만 걱정도 잠시!! 이번 달의 건수는 실로 놀라웠고 우리를 기쁘게 만들었습니다. 10월 한달 동안에는 "버그캠프" 플랫폼에서 5건의 신규 프로그램을 출시하였고, 티오리의 "패치데이"라는 버그바운티 플랫폼의 등장과 함께 3건의 신규 프로그램이 출시되면서 지난 달의 걱정이 무색해졌습니다. 다만 버그캠프에서 새로 출시된 프로그램들의 포상금이 없다는 점은 아쉽긴 하지만 이 또한 국내 버그바운티 저변 확대 차원에서 기업들의 참여를 이끌어내고 기업들 스스로가 버그바운티의 이점을 체감하기 위한 과정일 것이라 생각해봅니다.■ 신규 프로그램: 8건엔큐리티제공 플랫폼: 버그캠프기간: 2021년 10월 12일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4be6ca31e4e7777e989d13efcf858c13(주)내스타일제공 플랫폼: 버그캠프기간: 2021년 10월 13일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42f84873c958644cb121e2a5af0d9457TARGOS제공 플랫폼: 버그캠프기간: 2021년 10월 19일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/42a3639e491c069da8be40a8d15df4f5찜 어플리케이션제공 플랫폼: 버그캠프기간: 2021년 10월 24일 - 최대 현상금: 0원타겟 시스템 유형: 모바일프로그램 URL: https://bugcamp.io/programs/48059806ce94fc0184b9d61d491de51c주식회사 스패로우제공 플랫폼: 버그캠프기간: 2021년 10월 25일 - 최대 현상금: 0원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/49e3c23aa416ca8aa6b21fdc0b933a3eNaver Whale제공 플랫폼: 패치데이기간: 2021년 10월 25일 - 최대 현상금: USD $7,500타겟 시스템 유형: 소프트웨어(네이버 웨일브라우저)프로그램 URL: https://patchday.io/naver/naver-whalePatchDay제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/patchday/Dreamhack제공 플랫폼: 패치데이기간: 2021년 10월 5일 - 최대 현상금: 2,000,000원타겟 시스템 유형: 웹프로그램 URL: https://patchday.io/theori/dreamhack■ 기존 프로그램: 8건Samsung SDS 웹사이트제공 플랫폼: 해킹존기간: 2021년 5월 24일 - 2021년 12월 1일 (기한 연장)최대 현상금: 10,000,000원타겟 시스템 유형: 웹 프로그램 URL: https://hackingzone.net/ProgramDetail/18 (로그인 후 확인 가능)Samsung SDS 고객지원포탈제공 플랫폼: 해킹존기간: 2021년 5월 24일 - 2021년 12월 1일 (기한 연장)최대 현상금: 10,000,000원타겟 시스템 유형: 웹 프로그램 URL: https://hackingzone.net/ProgramDetail/23 (로그인 후 확인 가능)Samsung Smart Lock제공 플랫폼: 해킹존기간: 2021년 6월 8일 - 2021년 12월 1일 (기한 연장)최대 현상금: 10,000,000원타겟 시스템 유형: 시판중인 Push Pull 도어록(12종) 외 관련 ‘삼성 스마트 도어록’ Mobile App 및 디바이스 플랫폼 프로그램 URL: https://hackingzone.net/ProgramDetail/24 (로그인 후 확인 가능)CodeEngn제공 플랫폼: 버그캠프기간: 2021년 6월 10일 - 최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab 한국CISSP협회 대표홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 7일 -최대 현상금: 100,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908Wargame.kr제공 플랫폼: 버그캠프기간: 2021년 7월 19일 -최대 현상금: 1,000,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/460a759aa8747cacbe5f05028f451441Remote Browser제공 플랫폼: 버그캠프기간: 2021년 7월 21일 -최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 부터최대 현상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443d
 2021-10-27 09:10 KST      973

[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2021년 10월

9월에 흥미를 끈 버그바운티 관련 기사는 애플 버그바운티 프로그램에 대한 보안연구원들의 불만과 비난에 관한 기사였습니다.Security Researchers Unhappy With Apple's Bug Bounty Program“The house always wins”: Another criticism of Apple’s bug bounty program기사에 따르면 애플은 보안연구원과의 의사소통을 기피하며 보고된 버그를 패치하는데 늑장을 부릴 뿐만 아니라 버그에 대한 보상도 없다고 비난했습니다. 2020년 한해 동안 애플이 버그바운티를 통해 지급된 보상금 액수(370만 달러)가 마이크로소프트(1360만 달러)나 구글(670만 달러)과 비교해 현저히 낮았습니다. 결국 애플의 버그바운티는 보안연구원이 기피하는 프로그램으로 전락하고 말았고, 발견한 애플의 버그는 애플에 보고하기보다는 다른 경로로 판매되었습니다. 애플의 태도가 개선되지 않는다면 애플은 취약점 투성이인 아이폰을 고객에게 판매하고 이는 보안사고로 이어져 더 큰 비용을 지불해야 할 수도 있습니다. 그나저나 보안연구원 입장에서 의사소통이 잘 안되는 것만 해도 심각하다고 여길텐데 가장 중요한 금전적 보상도 차일피일 미루어왔다니 보안연구원이 화가 날만 합니다. 아무튼 이런 해외의 사례를 반면교사로 삼아 국내에서 버그바운티를 시행하고 있거나 앞으로 시행할 기업들은 같은 실수를 범하지 않기를 바랍니다.2021년 10월 국내 버그바운티 프로그램올해 7월경 민간에서 해킹존, 버그캠프 등의 국내 버그바운티 플랫폼을 출시해 서비스를 시작했고, 이에 우리는 국내 버그바운티 프로그램을 소개하기 위해 빅샷 코너를 만들었습니다. 지금 읽고 계신 이 글은 빅샷 코너의 네 번째 글임에도 불구하고 매우 매우 매우 아쉽게도 벌써부터 소개해드릴 수 있는 국내 신규 버그바운티 프로그램이 고갈되어 버렸습니다. 아직 버그바운티에 대한 국내 기업들의 낮은 인지도와 부정적 인식, 기타 여러 요인들로 인한 상황이라 여기며 이런 어려운 상황 속에서도 버그바운티 플랫폼을 서비스하며 국내 기업들의 참여를 이끌어내려고 노력하시는 분들의 노고에 감사드려야 할 것 같습니다. 속도는 좀 느리더라도 프로그램 오너, 소비자, 보안연구원 모두가 윈윈할 수 있는 건전한 버그바운티 문화가 국내에 정착되기를 기대해봅니다. 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. 이번 글부터는 신규 프로그램과 기존 프로그램으로 구분되어 소개해드릴 예정이며, "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다. ■ 신규 프로그램없음■ 기존 프로그램CodeEngn제공 플랫폼: 버그캠프기간: 2021년 6월 10일 - 최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab 한국CISSP협회 대표홈페이지제공 플랫폼: 버그캠프기간: 2021년 6월 7일 -최대 현상금: 100,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908Wargame.kr제공 플랫폼: 버그캠프기간: 2021년 7월 19일 -최대 현상금: 1,000,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/460a759aa8747cacbe5f05028f451441Remote Browser제공 플랫폼: 버그캠프기간: 2021년 7월 21일 -최대 현상금: 500,000원타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 부터최대 현상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443d모꼬지심제공 플랫폼: 제로웨일기간: 2021년 4월 9일 - 2021년 12월 31일 최대 현상금: 700,000원타겟 시스템 유형: 웹프로그램 URL: https://zerowhale.io/mokojisim 
 2021-09-28 11:22 KST      1088

[BIG SHOT] 국내 버그바운티 프로그램 소개 - 2021년 9월

8월 한달간 흥미로웠던 사건은 DeFi 플랫폼 "폴리 네트워크 해킹 사건"이었습니다.한 해커가 해킹을 통해 6억달러에 달하는 돈을 가져갔다가 모두 돌려준 사건인데요. 폴리 네트워크는 이 해커에게 50만 달러의 포상금을 지급하는가 하면 수석 보안 고문의 일자리까지 제안했던 것으로 알려졌습니다. 해커는 그저 재미와 교훈을 위해 해킹했다고 대응했는데 그게 그의 말대로 진정한 의도였다면 그는 본인의 재미도 챙기고 폴리 네트워크 뿐 아니라 DeFi 생태계 자체에 참교육을 시전한 셈이네요. 하지만 수사는 계속 진행한다는 말이 있던데 실로 위험천만한 장난이 아니였나 생각되기도 합니다.디파이 플랫폼 폴리 네트워크에서 사라진 6억 달러, 범인들이 일부 반납 ‘미스터 화이트햇’, 훔쳐간 암호화폐 6억 달러 전부 반납6억 달러 잃을 뻔했던 폴리 네트워크, 공격자를 스카우트서론은 마무리하고 아무튼 9월 국내 버그바운티 프로그램을 소개해드립니다. 이번 9월 국내 버그바운티 소개는 아주 초라한 듯 합니다. 사실 지난 8월 글을 작성한 이후 해킹존에서 리딧, 단끝, 제주패스 등 4개의 신규 버그바운티 프로그램을 오픈하였지만 해당 프로그램은 기한이 8/31까지인 관계로 이 글에서 소개해드릴 수가 없는 점이 아쉽습니다. 8월 중에 오픈되었지만 21년 9월에도 여전히 유효한 신규 버그바운티 프로그램은 아쉽게도 버그캠프의 Webhacking.kr 이 유일합니다. 소개를 위한 기준을 변경해야할지 심히 고민되는 달이네요.2021년 9월 국내 버그바운티 프로그램소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. 단, 글 작성 이후에 시작되고 프로그램 시행 기한이 익월에도 유효할 경우 익월 글에 포함될 수 있습니다. Webhacking.kr제공 플랫폼: 버그캠프기간: 2021년 8월 2일 부터최대 현상금: 1,500,000원 타겟 시스템 유형: 웹프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443d
 2021-08-30 09:41 KST      936