Bon, vous le savez, le bug bounty c’est le truc le plus cool du monde. Bien sûr, je ne suis pas objectif, car j’ai créé avec mes associés YesWeHack, mais en gros, ça permet pour les sociétés d’avoir un retour en continu sur des failles de sécurité découvertes afin de les corriger au plus vite, et aux chercheurs en sécurité d’exercer leur art et accessoirement de gagner de l’argent.
Et je peux vous le dire, les boites et les hunters adorent. On le voit avec Firebounty, l’agrégateur de bug bounty qui grossit de manière exponentielle.
Une preuve supplémentaire de l’engouement actuel pour le bug bounty, ce sont les chiffres que Twitter vient de sortir au sujet de son bug bounty. Démarré en 2014, ce programme de bug bounty a reçu 5 171 soumissions provenant de 1 662 chercheurs différents, qui ont mené à la correction d’un nombre non révélé de failles dont certaines très critiques.
Au total, Twitter a versé 322 420 $ de récompenses durant 2 ans, soit 835 $ versé en moyenne. La plus grosse récompense oneshot que Twitter a payée s’élevait à 12 040 $ et la plus petite n’était que de 140 $ (ce qui n’est pas si mal). Et parmi les chercheurs qui ont travaillé sur Twitter, l’un d’entre eu a cumulé à lui seul 54 000 $. Pas mal hein ?
Et ça, c’est juste sur Twitter. Certains hunters sont vraiment excellents et vivent de leur art en faisant uniquement du bug bounty. D’ailleurs un truc cool avec le programme de bug bounty de Twitter, c’est qu’il autorise la divulgation après que le bug ait été corrigé. Mais seuls 20% des chercheurs ont rendu publique leur découverte.
Je suis content que Twitter ait publié ses chiffres. Je sais qu’en Europe et plus particulièrement en France, il faut encore expliquer aux gens tous les bénéfices qu’ils peuvent retirer d’un programme de bug bounty, que ce soit en tant que hunter ou en tant que société. Il faut aussi rassurer et expliquer pourquoi ce n’est pas dangereux.
Mais j’ai eu l’occasion ces derniers mois de faire quelques présentations à ce sujet auprès de publics variés (décideurs, développeurs, hackers, étudiants…) et à chaque fois, après leur avoir apporté des réponses à toutes leurs questions, ils ont été convaincus de la chose.
Bref, l’avenir est au bug bounty et que ce soit dans une démarche proactive pour leur sécurité ou tout simplement pour leurs besoins de communication, toutes les entreprises y passeront. Aujourd’hui, une entreprise qui n’a pas de site web intrigue et n’inspire pas forcément confiance. Demain, ce seront les entreprises qui n’ont pas de programme de bug bounty qui vous fera cet effet-là. J’en suis convaincu.