AI实践哪家强?来 AICon, 解锁技术前沿,探寻产业新机! 了解详情
写点什么

初创公司如何通过 Huntr(一个漏洞悬赏平台)来帮助保护开源生态系统

  • 2020-04-07
  • 本文字数:1709 字

    阅读完需:约 6 分钟

初创公司如何通过 Huntr(一个漏洞悬赏平台)来帮助保护开源生态系统

多年来,人们越来越依赖开源代码,而随着新开源技术的引入,漏洞也越来越多。“多眼”审查有助于确保开源软件的安全,并依赖于将代码暴露给尽可能多的开发人员。它的概念是,众多代码审查人员可以帮助他们发现和预防安全问题,从而避免影响使用该代码并在其基础上进行构建的组织。


尽管如此,许多人仍将目光集中在开源代码以及直接由公司赞助的代码的小子集上,从而使大多数开源生态系统的安全性降低。帮助提高开源软件安全性的方法之一,就是通过激励开源软件开发人员,查看整个生态系统中的软件包,这是 418sec 任务的一部分。


从初创企业到政府机构,我们的团队拥有与各类组织打交道的经验。我们一直在寻找更好的安全性解决方案,并意识到目前解决开源代码软件安全性问题的尝试还不够。


一般来说,人们通过三种方式尝试解决开源软件安全性问题:


  1. 开源功能请求平台:这些功能使公司可以支付开发人员费用,为特定开源项目构建新功能。

  2. 开源“防病毒”解决方案:这些是复杂的 CI/CD 工具,可扫描已知漏洞,但并不总是提供解决方案。

  3. 开源赞助计划:这些是每月订阅,支持特定开源代码,但未绑定交付成果。因此,许多组织只希望开源社区在需要时提供支持。


我们认为这些解决方案还不够,所以我们决定在巨人的肩膀上继续前进,并提出其他选择。

什么是 huntr?

huntr 于 2020 年初推出,是一个用于保护开源代码的漏洞悬赏平台,是一种帮助开源社区成员披露和修复软件安全问题并获得报酬的方法。我们与各个组织合作,获知他们依赖哪个开源程序,然后这些漏洞就变成了赏金,同时我们开始与开源社区积极合作,以解决安全问题。


开发人员可以下载代码,开发安全修复程序,并在我们批准该修复程序后,获得奖励。目前,现金奖励为 25 USD,但我们正在试验悬赏定价。您可以阅读最近的参与者博客文章“漏洞悬赏的另类视角”,从开发人员的角度了解此类体验。


除了获得悬赏之外,我们还通过社交媒体渠道和 GitHub 认可开发人员,并在每个月末,选择顶级 huntr 在博文中予以介绍。最好的漏洞猎手将有机会成为警长,这意味着他们在审查其他开发人员的漏洞修复程序时,可以获得报酬。


自从启动 huntr 以来,60% 以上的问题已得到解决,更广泛的开源社区正在采用修复程序,并且 huntr 社区正在不断壮大。

AWS 服务抵扣券如何提供帮助

Amazon Web Services (AWS) 通过 AWS Activate 为我们提供了促销服务抵扣券,AWS Activate 是专门为初创企业和早期企业家设计的一款免费程序。服务抵扣券和 AWS Activate 为我们腾出有限的资金,以回馈社区,并提供了有助于我们履行使命的工具和服务平台。


Huntr 是基于 Nuxt.js 的单页应用程序,位于 Amazon Simple Storage Service (Amazon S3) 上,可通过 Amazon CloudFront 提供给我们的用户。它与我们的 GraphQL API(由 AWS AppSync 提供支持)进行通话,该 API 允许对我们的数据服务和 AWS Lambda 函数队组进行事务处理,以帮助我们与第三方服务互动。


我们使用 Amazon Aurora ServerlessAmazon DynamoDB 满足我们所有的数据需求,提供一个迅速响应的网站,并根据需要快速读取其他工具,帮助组织扫描其代码库中的开源问题。


整个环境每天会根据用户反馈和我们的技术路线图进行迭代,并由 AWS Amplify 来编排,后者控制我们的 CI 并确保每个部署平稳运行。多亏了所有上述服务,我们才能在短短两周内完成 huntr 的初始迭代。


如何加入

除了 AWS 的支持外,我们正在寻找更多组织来赞助或加入 huntr,这不仅可以帮助保护开源生态系统,还可以确保高度依赖的开源软件包的安全。如需了解更多信息,请通过 info@418sec.com 联系我们,关注 418sec 的 Twitter,并 在 GitHub 上查找 418sec

读者可能也会喜欢

永远都是零日:致力于开源和安全

re:Invent 大会期间,Colm MacCárthaigh 提出了“永远都是零日:致力于开源和安全”,其中涵盖了为审核开源软件的安全风险而开发的技术,工具和协议,如何减轻这些风险,如何管理开放性与协作之间的棘手平衡,以及如何处理禁运安全问题和关键修复程序。


本文转载自 AWS 技术博客。


原文链接:https://amazonaws-china.com/cn/blogs/china/how-a-startup-wants-to-help-secure-the-open-source-ecosystem-with-huntr-a-bug-bounty-board/


2020-04-07 17:261006

评论

发布
暂无评论
发现更多内容

上千元改一份简历,真的值得吗

安全乐谷

面试 找工作 简历 实习

【HarmonyOS 5】鸿蒙实现手写板

GeorgeGcs

鸿蒙 HarmonyOS 本地存储 敏感信息

摩尔线程精彩亮相2025中国移动云智算大会,以全栈AI赋能智算新时代

新消费日报

ProteinMPNN:基于深度学习的蛋白质序列设计模型

Splendid2025

人工智能、

征程 6 VIO Frame 时间戳介绍

地平线开发者

自动驾驶 算法 地平线征程6

PIRF 429:True or False

Echo!!!

English

Arthas profiler(使用async-profiler对应用采样,生成火焰图)

刘大猫

教育 Arthas 大模型 社会科学 人文学科

香港首届Web3人工智能与RWA产业投融生态对接峰会蓄势待发

TechubNews

人工智能 AI

《Operating System Concepts》阅读笔记:p629-p635

codists

操作系统

深入研究:京东店铺所有商品API详解

tbapi

京东API 京东店铺所有商品API 京东店铺商品采集

香港首届Web3人工智能与RWA产业投融生态对接峰会蓄势待发

TechubNews

区块链 人工智能 AI

欢迎投稿!Community Over Code Asia 2025 议题征集全面启动!

Apache IoTDB

【HarmonyOS 5】敏感信息本地存储详解

GeorgeGcs

鸿蒙 本地存储 敏感信息

冲破次元壁!初音未来梦幻联名丨华硕ROG DAY暨2025新品发布会

新消费日报

PIRF430 - Job Interview

Echo!!!

English

ATRNX.AI 全智能量化 Agent 引领金融科技新浪潮——第七届全国金融大数据及 AI 战略融合发展大会在杭召开

TechubNews

区块链 人工智能 web3

GitHub封锁?推荐5个国产的Git仓库替代平台

程序员晚枫

GitHub 开源

如何使用通义灵码玩转Docker - AI助手提升开发效率

阿里云云效

Docker

通义灵码 2.0 | AI程序员 荣耀登场

六月的雨在InfoQ

通义灵码 通义灵码2.0 AI辅助编程 AI代码助手

【征程 6】工具链VP示例中Cmakelists解读

地平线开发者

算法 自动驾驶; 地平线征程6

如何使用 Grafana 连接 Easyearch

极限实验室

Grafana easysearch

深入研究:京东商品视频 API 详解

tbapi

京东API 京东商品视频API

Easysearch S3 备份实战

极限实验室

S3 easysearch

如何使用通义灵码玩转Docker - AI助手提升开发效率

阿里巴巴云原生

Docker

2025年最佳的5个找工作AI助手:全面指南

安全乐谷

AI 面试 找工作 实习 agent

户外全彩LED显示屏应具备哪些性能?

Dylan

交通 LED 户外LED显示屏 体育 LED屏幕

智能游戏开发神器 ,Dimensity Profiler让掉帧、内存飙升问题无所遁形

科技热闻

星闪技术代际领先,低时延、精定位、大带宽引领无线短距通信升级

科技热闻

《Operating System Concepts》阅读笔记:p626-p628

codists

操作系统

北京大风来,带了什么来

AI时代的一滴水

人生修炼

深入研究:京东商品评论API详解

tbapi

京东商品评论接口 京东API 京东评论API 京东商品评论采集

初创公司如何通过 Huntr(一个漏洞悬赏平台)来帮助保护开源生态系统_开源_亚马逊云科技 (Amazon Web Services)_InfoQ精选文章