22」で、バグハンターとして生きる方法や、最近のバウンティプログラム事情について、いくつか講演が行われた。その様子をレポートする。公開[谷崎朋子,@IT]初のバウンティプログラムはNetscape「レッドチーム(攻撃)とブルーチーム(防御)、どちらを選ぶかと聞かれたら、多くの人がレッドチームを選ぶだろう。知識と腕を武器に戦う姿はかっこいいし、IT技術からソーシャルエンジニアリングまで、知的好奇心を刺激する学習の機会が多く得られる。企業雇用のペンテスターなどと同列に語られることもあるが、業務時間外や週末にわざわざ出社してテストしたり、価値ある業務であることを証明するだけのために長文のレポートを作成したり、思い付く限り、苦労と辛さしかない」。オレ、大きくなったらバグバウンティになるんだ)の冒頭でこう笑う。実際、最近は脆弱性を発見、報告した場合、内容に見合った報酬を与えるバウンティプログラムが増えている。米国初のバウンティプログラムは、1995年、Webブラウザー開発会社のNetscapeが実施した。目的はベータ版の改善と品質向上で、多くの人がテストに参加。報酬は、Netscapeのロゴ入りマグカップとTシャツだった。Foundationが、深刻なバグに対して500ドル支払う報奨金プログラムを実施。バウンティプログラムは少しずつ広まっていった。2007年、CanSecWestセキュリティカンファレンスで、「Pwn2Own」と呼ばれるハッキングコンテストが開催された。Proをハッキングし、成功した人はそのPCを持ち帰ってもよいというものだ。Initiative(ZDI)経由で1万ドルの報奨金が支払われた。そんな中、2009年の同カンファレンスで「セキュリティバグを発見した場合は報奨金を支払うべき」と提案する発表が行われ、「影響は定かではないが、少なくともバグハンターの間で報奨金への期待が高まったのは事実。Securityのカルステン・エイラム氏は述べる。「実際、バグハンターを職業にするなら、狙うは間違いなく報奨金だ」(エイラム氏)。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。