アカウント名:
パスワード:
報奨金を増額することで、バグを見つけるためのモチベーションは一時的には上がると思いますが、問題もあると思います。報奨金だけが目当てになると、バグ発見者は「より高く売れるところで利用しよう」と考えるようになるからです。
もちろん、労力に見合った報奨金は必須ですが、それだけでは限界があるでしょう。たとえば、Mozilla公認のセキュリティアドバイザー的な認定をして、その人が指摘したバグ対応の優先順位をあげるとか、そういうなにかが欲しいところです。
ん? 限界の指摘がよくわからないのですが。Firefoxの開発が全て順調と言うつもりはありませんが、今回発見された脆弱性はきっちり潰しています。優先度の設定も開発力も問題ないと言えるのでは。報奨金というか金目当てだけになることによって、こういった白い場ではなく、黒い市場で売りさばかれているってのは数年前から指摘されていますね。Zero Day Attackが横行する背景でもあり、セキュリティを金にすることの限界でもあります。
余談ですが、セキュリティ界隈もいろいろ悩ましいことになっているらしいです。Full Disclosureの終了についてはなるほどと思わされました。
バグ毎に賞金を払うより、そういう人を固定金で雇ったほうがいいんじゃ、ってことだろ
普通、開発者側でバグや脆弱性の確認はするはずだけど、それでもすり抜けるものがある。そのすり抜けたものを一般から探してもらってる。だから、バグ発見担当者を固定給で雇ったとしても何も変わらない。そりゃ、専任者を増やせばそれだけすり抜ける可能性は下がるだろうけど、それでも０にすることはできない。開発者側を増やすということはすでにやっただろうから、それをわかった上で一般から報酬で募集する方が効率的と考えたんじゃないかな。
私が元コメントで指摘したのは、まさにおっしゃるように「セキュリティを金にすることの限界」についてです。要するに、セキュリティホールを見つけることに対する金以外の何か別のものを用意するべきではないかな、ということです。何が適切かはわかりませんが、セキュリティを研究してる人間が、犯罪組織に売るんではなく、Mozillaのバグ出しに協力してやろうと思うような何かです。
まあ、恐らくそんなことは繰り返し指摘されてきたことなのでしょうが。Mozillaのセキュリティ対策のやり方について詳しくしらないので、もし見当違いのこと言ってたらすみません。
それがハッキングチャレンジなんじゃないの？
BitCoinみたいに「自分が発見したバグ」の所有者がいつまでも自分だけとも限らないので、手頃な報奨金をチラつかされれば囚人のジレンマよろしく早々に処分したがるんじゃないですかね。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
計算機科学者とは、壊れていないものを修理する人々のことである
報奨金 (スコア:1)
報奨金を増額することで、バグを見つけるためのモチベーションは一時的には上がると思いますが、問題もあると思います。
報奨金だけが目当てになると、バグ発見者は「より高く売れるところで利用しよう」と考えるようになるからです。
もちろん、労力に見合った報奨金は必須ですが、それだけでは限界があるでしょう。
たとえば、Mozilla公認のセキュリティアドバイザー的な認定をして、その人が指摘したバグ対応の優先順位をあげるとか、そういうなにかが欲しいところです。
Re:報奨金 (スコア:2)
ん? 限界の指摘がよくわからないのですが。Firefoxの開発が全て順調と言うつもりはありませんが、今回発見された脆弱性はきっちり潰しています。優先度の設定も開発力も問題ないと言えるのでは。
報奨金というか金目当てだけになることによって、こういった白い場ではなく、黒い市場で売りさばかれているってのは数年前から指摘されていますね。Zero Day Attackが横行する背景でもあり、セキュリティを金にすることの限界でもあります。
余談ですが、セキュリティ界隈もいろいろ悩ましいことになっているらしいです。Full Disclosureの終了についてはなるほどと思わされました。
Re: (スコア:0)
バグ毎に賞金を払うより、そういう人を固定金で雇ったほうがいいんじゃ、ってことだろ
Re: (スコア:0)
普通、開発者側でバグや脆弱性の確認はするはずだけど、それでもすり抜けるものがある。そのすり抜けたものを一般から探してもらってる。
だから、バグ発見担当者を固定給で雇ったとしても何も変わらない。そりゃ、専任者を増やせばそれだけすり抜ける可能性は下がるだろうけど、それでも０にすることはできない。
開発者側を増やすということはすでにやっただろうから、それをわかった上で一般から報酬で募集する方が効率的と考えたんじゃないかな。
Re: (スコア:0)
私が元コメントで指摘したのは、まさにおっしゃるように「セキュリティを金にすることの限界」についてです。
要するに、セキュリティホールを見つけることに対する金以外の何か別のものを用意するべきではないかな、ということです。
何が適切かはわかりませんが、セキュリティを研究してる人間が、犯罪組織に売るんではなく、Mozillaのバグ出しに協力してやろうと思うような何かです。
まあ、恐らくそんなことは繰り返し指摘されてきたことなのでしょうが。
Mozillaのセキュリティ対策のやり方について詳しくしらないので、もし見当違いのこと言ってたらすみません。
Re:報奨金 (スコア:1)
> 用意するべきではないかな
その何かを発明できたとしたらノーベル賞をもらえるというか
ノーベル賞を超えますよ。ノーベル賞ですら名誉と多少のお金しか
もらえませんから。
Re: (スコア:0)
それがハッキングチャレンジなんじゃないの？
Re: (スコア:0)
BitCoinみたいに「自分が発見したバグ」の所有者がいつまでも自分だけとも限らないので、
手頃な報奨金をチラつかされれば囚人のジレンマよろしく早々に処分したがるんじゃないですかね。