২২ মার্চ ২০১৮-এ, নেটফ্লিক্স একটি "বাগ বাউন্টি" প্রোগ্রাম শুরু করলো যা হ্যাকারদের কোম্পানিতে ভালনারেবিলিটি রিপোর্ট করার জন্য কমপেনসেট করবে। কোম্পানি এটি গত পাঁচ বছর ধরে করছে, কিন্তু শুধু একটি রস্ট্রিক্টেড সেটিং-এ। এখন যেহেতু এটি পাবলিকের জন্য খুলে দিয়েছে, অনেক হ্যাকার সাইটটি ব্যাপকভাবে স্ক্যান করবে।
এই অনুশীলন কিছুটা হয়চাড়া মনে হতে পারে, কিন্তু অনেক লোক মনে করেন অজানা লোকদের টাকা দিয়ে আপনার ওয়েবসাইট হ্যাক করানো সম্ভাব্য হুমকির বিরুদ্ধে সিকিউর করার সবচেয়ে কার্যকর উপায়ের একটি। প্রশ্ন হলো, বাগ বাউন্টি প্রোগ্রামগুলো কি রিয়েলি ইন-হাউস পেনিট্রেশন টেস্টিং টিমের চেয়ে বেশি কার্যকর?
পেনিট্রেশন টেস্টিং কীভাবে কাজ করে
পেনিট্রেশন টেস্টিং ডেভেলপমেন্ট সাইক্লের একটি সাধারণ অংশ যা সাধারণত একটি প্রোডাক্ট পাবলিকের জন্য রিলিজ করার আগে করা হয়। এতে একটি টিম থাকে, আউটসোর্সড বা ইন-হাউস, যারা কোম্পানির রিলিজ করতে চাওয়া সফ্টওয়ার বা সিস্টেমকে "হ্যাক" করার চেষ্টা করে। তারপর তারা প্ল্যাটফর্মে পাওয়া সব ভালনারেবিলিটি রিপোর্ট করে, যাতে ডেভেলপাররা সেগুলো ফিক্স করতে পারে বড় সমস্যা হয়ার আগে।
পেনিট্রেশন টেস্টিংয়ের সময়, টিম সাধারণত একটি সেট প্রসিডিউর ফলো করে সকল সম্ভাব্য ভালনারেবিলিটি আবিষ্কার করার জন্য। এতে হ্যাকাররা সিস্টেম এবং সফ্টওয়ার घুসপড় করার জন্য যেসব টেকনিক ব্যবহার করে সেগুলো ব্যবহার করা থাকতে পারে। আপনি যা পাবেন সেটি হলো আপনার সফ্টওয়ারের ক্রিটিক্যাল এরিয়ারগুলোর একটি কমপ্রিহেনসিভ তালিকা যেগুলো অধিকাংশ হ্যাকার সাবভার্ট করতে পারত।
বাগ বাউন্টি কেন এত আকর্ষণীয়?
যখন আপনি একটি বাগ বাউন্টি প্রোগ্রাম তৈরি করেন, আপনি মূলত পাবলিককে বলছেন যে আপনি একটি নির্দিষ্ট পরিমাণ টাকা দিতে ইচ্ছুক যেকোনো যিনি একটি সিগনিফিক্যান্ট ভালনারেবিলিটি আপনাকে রিপোর্ট করবেন। একটি সফল বাগ বাউন্টি চালানোর জন্য, আপনাকে কিছু গ্রাউন্ড রুল সেট করতে হবে যাতে লোকেরা জানতে পারে এমন একটি কোয়েস্টে কোন ধরনের আচরণ অ্যাক্সেপ্টেবল নয়।
কতটুকু কাউন্টার-ইনটিউইটিভ শুনাতে পারে, বাগ বাউন্টি ট্র্যাডিশনাল পেনিট্রেশন টেস্টিংর চেয়ে কিছু সুবিধা অফার করে:
- বাউন্টিতে অংশগ্রহণকারীদের ভালনারেবিলিটি পাওয়ার পর টাকা দেওয়া হয়, যা সকল সফ্টওয়ার ভালোভাবে সুইপ করার ইনসেন্টিভ দেয়। পেনিট্রেশন টেস্টিং এভাবে ইনসেন্টিভ দেয় না, যেহেতু টিম মেম্বাররা পে পাওয়া হয় যতটা থরো কাজ করুক না কেন।
- বাউন্টি হাজার হাজার দক্ষ হ্যাকারদের সুযোগ দেয় তাদের দক্ষতা পরীক্ষার, যা অবিশ্বাস্য পরিমাণে পারস্পেক্টিভ প্রদান করে। পেনিট্রেশন টেস্টিং টিমগুলো আকারে সীমাবদ্ধ থাকে। তাদের দক্ষতা 어떦 কেন নও, তাদের পারস্পেক্টিভ সীমিত।
- বাগ বাউন্টি অংশগ্রহণকারীদের অনেকই দক্ষ ফুল-টাইম প্রফেশনাল যারা একই সময়ে একাধিক হান্টে অংশ নেন।
- বড় "অ্যাটাক সারফেস" (অর্থাৎ সফ্টওয়ার যা ভেঙে যাওয়ার 굉বিশেষ সন্নিবেশ) থাকা কোম্পানিগুলো তাদের নিজের টিমের দ্বারা বাদ দিয়ে যাওয়া বাগগুলো আবিষ্কার করতে পারে।
পেনিট্রেশন টেস্টিং এখনও প্রাসঙ্গিক কেন?
বাগ বাউন্টি চমৎকার হলেও, সেগুলো তাদের জন্য কাজ করে না যাদের খুব বড় কমিউনিটি নেই। এটিই পেনিট্রেশন টেস্টিং এখনও বড় ফিনোমেনন থাকার কারণ। আপনি যদি একটি মেডিকেল সাপ্লাই সফ্টওয়ার কোম্পানি হন, উদাহরণস্বরূপ, তবে আপনি তত ইচ্ছুক অংশগ্রহণকারী পাবেন না, বলুন একটি ভিডিও গেম স্টুডিও যাদের দশ হাজার লোকের কমিউনিটি আছে।
পেনিট্রেশন টেস্টিং এখনও অন্যান্য সুবিধা অফার করে যা কোম্পানিগুলকে বাগ বাউন্টির আইডিয়া ত্যাগ করতে 확신 দিতে পারে:
- আপনি আপনার ভালনারেবিলিটি পাবলিকের সামনে এক্সপোজ হওয়ার রিস্ক কমিয়ে আনেন আপনার এটা ফিক্স করার সুযোগ পাওয়ার আগে। আপনি আপনার বাগ বাউন্টিতে এই নিয়ম সেট করলেও, লোকেরা সেটি মিসইন্টারপ্রেট করতে বাধ্য।
- আউটসোর্সড পেনিট্রেশন টেস্টিং কোম্পানিগুলো সার্টিফিকেশন অফার করতে পারে যা আপনার কাস্টোমারদের জন্য গুরুত্বপূর্ণ।
- রিপোর্টিংয়ের কোয়ালিটি প্রায়শই পেনিট্রেশন টেস্টিং-এ অনেক বেশি ভালো।
- এটি হাইরি-রেগুলেটেড মার্কেটে (যেমন পেমেন্ট প্রসেসিং এবং যেকোনো কিছু যেটি ব্যাংক/ডেবিট/ক্রেডিট কার্ড ডেটা হ্যান্ডেল করে) উপযোগী।
আপনি কি নেটফ্লিক্সের বাগ বাউন্টি প্রোগ্রামের কারণে আরও নিরাপদ মনে করছেন? নাকি কোম্পানিটি পেনিট্রেশন টেস্টিং টিমের সাথে কাজ করলে ভালো হতো? কমেন্টে আপনার মতামত জানান!
