안녕하세요. 벌써 3월을 눈 앞에 두고 있습니다. 요 며칠간 매섭게 춥더니 오늘 점심식사 시간에 밖을 나가 제법 따사로워진 햇살을 받으니 '이제 겨울도 물러가고 봄이 오는구나. 계절은 또 변하고 있구나' 하는 생각이 들더군요. 계절은 변하지만 저는 여느 때와 다름없이 개인적 관점에서 흥미로웠던 업계 소식을 정리하면서 2022년 3월을 위한 빅샷을 시작해봅니다.
네이버, 구글의 버그바운티 포상금 지급액 발표
먼저 국내 네이버에서는 버그바운티 어워드를 시행해 참가자 3명에게 시상을 했다고 합니다. 네이버는 2021년 한 해동안 166명이 버그바운티 프로그램에 참여하였고 총 1억 1600만원의 포상금을 지급했다고 전했습니다.
해외에서는 버그바운티 프로그램의 대장격인 구글 또한 2021년 한 해동안 버그를 제보한 참가자들에게 870만 달러(한화로 약 100억원)를 지급했다고 구글 시큐리티 블로그에서 밝혔는데요. 제보된 버그 중 크롬과 안드로이드가 상당한 비중을 차지했으며 작년에 비해 취약점 개수도 증가했다고 합니다. 혼자 232개의 안드로이드 취약점을 제보한 Aman Pandey라는 인도의 한 보안연구원은 구글로부터 특별 감사와 함께 6500만 루피를 지급받았다고 합니다.
시상이나 특별 감사를 받은 분들은 물론 버그바운티를 통해 각자의 기준에서 의미있는 성과를 거두신 모든 분들께 축하와 박수를 보내고 싶습니다.
버그바운티에 진심인 카르다노 블록체인
블록체인 업계에서도 버그바운티에 적극 참여하고 있는 모양새인데요. 그 중에서도 보안성이 뛰어나다고 유명한 카르다노(ADA)는 버그바운티 금액을 두 배로 늘리며 취약점 찾기에 박차를 가하고 있습니다. 블록체인 업계의 버그바운티 금액이 상대적으로 높아 경험있고 실력있는 많은 보안연구원들이 블록체인 버그바운티에 시간을 할애할 것 같네요.
국내에서도 클레이튼에 이어 BIFROST가 국내 버그바운티 플랫폼 패치데이를 통해 버그바운티 프로그램을 신규로 시행했습니다. 아래 국내 버그바운티 프로그램 섹션에서 BIFROST 버그바운티 프로그램을 확인해보실 수 있습니다.
구글과 MS, OpenSSF의 알파-오메가 프로젝트 참여
버그바운티 소식은 아니지만 작년 12월에 터졌던 Log4Shell 사건은 우리가 잊고 있었던 오픈소스 보안에 다시금 화두를 던졌습니다. 이젠 오픈소스 보안에 대해 가볍게 생각말고 진지하게 받아들일 시기이고 이미 세상은 움직이고 있습니다. 구글과 마이크로소프트는 오픈소스 소프트웨어 공급망의 보안 강화를 위해 많은 활동을 하는 오픈소스 보안재단(OpenSSF)의 알파-오메가 프로젝트에 참여한다고 합니다.
구글, MS.. 두 형님의 파워를 믿습니다.
2022년 3월 국내 버그바운티 프로그램
※ 소개되는 버그바운티 프로그램은 프로그램 시작일과 프로그램 시행 기간을 고려하여 선정됩니다. "신규"는 프로그램 시작일을 기준으로 당월에 새롭게 시작된 프로그램을 뜻하며, "기존"은 프로그램을 시행한지 오래되었더라도 글 작성 시점 기준으로 12개월 이내에 시작되고 시행기간이 유효한 프로그램을 의미합니다.
■ 신규 프로그램: 1건
BIFROST
- 제공 플랫폼: 패치데이
- 기간: 2022년 2월 7일 - 2023년 2월 7일
- 최대 현상금: 50,000,000원
- 타겟 시스템 유형: BiFi, BiFi X, BiFi BTC Extension 스마트 컨트랙트의 최신버전 소스코드
- 프로그램 URL: https://patchday.io/bifrost-pilab/bifrost
■ 기존 프로그램: 18건
Samsung SDS 웹사이트
- 제공 플랫폼: 해킹존
- 기간: 2021년 6월 30일 - 2022년 12월 31일
- 최대 현상금: 10,000,000원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMThNWXg3OGRGNnltR3FGSEY4OURXeC9LRFZFK3kwVHdsbz0= (로그인 후 확인 가능)
Samsung SDS 고객지원포탈
- 제공 플랫폼: 해킹존
- 기간: 2021년 6월 30일 - 2022년 12월 31일
- 최대 현상금: 10,000,000원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMStXKys5NWxKRXFLUkpHbkdiQXQzODBDcVlQMUV6Wkxzbz0= (로그인 후 확인 가능)
Samsung Smart Lock
- 제공 플랫폼: 해킹존
- 기간: 2021년 6월 30일 - 2022년 12월 31일
- 최대 현상금: 10,000,000원
- 타겟 시스템 유형: 시판중인 Push Pull 도어록(12종) 외 관련 ‘삼성 스마트 도어록’ Mobile App 및 디바이스 플랫폼
- 프로그램 URL: https://hackingzone.net/ProgramDetail/VTJGc2RHVmtYMStHUU44a015V2d5OGtVc0l6S24wNlEvU1c0bnNCQmR6Zz0= (로그인 후 확인 가능)
엔큐리티
- 제공 플랫폼: 버그캠프
- 기간: 2021년 10월 12일 -
- 최대 현상금: 0원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/4be6ca31e4e7777e989d13efcf858c13
(주)내스타일
- 제공 플랫폼: 버그캠프
- 기간: 2021년 10월 13일 -
- 최대 현상금: 0원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/42f84873c958644cb121e2a5af0d9457
TARGOS
- 제공 플랫폼: 버그캠프
- 기간: 2021년 10월 19일 -
- 최대 현상금: 0원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/42a3639e491c069da8be40a8d15df4f5
찜 어플리케이션
- 제공 플랫폼: 버그캠프
- 기간: 2021년 10월 24일 -
- 최대 현상금: 0원
- 타겟 시스템 유형: 모바일
- 프로그램 URL: https://bugcamp.io/programs/48059806ce94fc0184b9d61d491de51c
주식회사 스패로우
- 제공 플랫폼: 버그캠프
- 기간: 2021년 10월 25일 -
- 최대 현상금: 0원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/49e3c23aa416ca8aa6b21fdc0b933a3e
CodeEngn 대표 홈페이지
- 제공 플랫폼: 버그캠프
- 기간: 2021년 6월 10일 -
- 최대 현상금: 500,000원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/4d39f5f7058e3a6089a17e1beae024ab
한국CISSP협회 대표 홈페이지
- 제공 플랫폼: 버그캠프
- 기간: 2021년 6월 7일 -
- 최대 현상금: 100,000원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/4ca1fd4c425ccca6ba9d90911a5dd908
Remote Browser
- 제공 플랫폼: 버그캠프
- 기간: 2021년 7월 21일 -
- 최대 현상금: 500,000원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/475e65db7e2b11c68ac1d7aeeea1bae2
Webhacking.kr
- 제공 플랫폼: 버그캠프
- 기간: 2021년 8월 2일 부터
- 최대 현상금: 1,500,000원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/441035cefaf0279ab99189ea3433443d
Naver Whale
- 제공 플랫폼: 패치데이
- 기간: 2021년 10월 25일 -
- 최대 현상금: USD $7,500
- 타겟 시스템 유형: 소프트웨어(네이버 웨일브라우저)
- 프로그램 URL: https://patchday.io/naver/naver-whale
PatchDay
- 제공 플랫폼: 패치데이
- 기간: 2021년 10월 5일 -
- 최대 현상금: 2,000,000원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://patchday.io/theori/patchday/
Dreamhack
- 제공 플랫폼: 패치데이
- 기간: 2021년 10월 5일 -
- 최대 현상금: 2,000,000원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://patchday.io/theori/dreamhack
수산아이엔티
- 제공 플랫폼: 버그캠프
- 기간: 2021년 10월 27일 -
- 최대 현상금: 0원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/4a35dad2cc737abcb5935dfd67c15759
스마트 안심케어
- 제공 플랫폼: 버그캠프
- 기간: 2021년 11월 22일 -
- 최대 현상금: 0원
- 타겟 시스템 유형: 웹
- 프로그램 URL: https://bugcamp.io/programs/49b1cee7bb158f4ea9ebe4f7e74739e3
Klaytn Blockchain
- 제공 플랫폼: 패치데이
- 기간: 2022년 1월 12일 - 2023년 1월 12일
- 최대 현상금: 50,000,000원
- 타겟 시스템 유형: Klaytn 노드 및 스마트 컨트랙트의 소스코드, 블록체인 노드
- 프로그램 URL: https://patchday.io/klaytn/klaytn-blockchain
태그: