保障Zoom和用戶的網(wǎng)絡(luò)安全：2022年Zoom“漏洞獎金”計(jì)劃回顧

網(wǎng)絡(luò)安全，速度為先。我們爭分奪秒，為的是比黑客更早發(fā)現(xiàn)系統(tǒng)漏洞和潛在風(fēng)險(xiǎn)。為此，我們要善加利用白帽黑客（道德黑客）社群的力量，幫助我們防患于未然。

Zoom憑借漏洞獎金計(jì)劃（Zoom Bug Bounty program）的助力，與專業(yè)研究人員建立聯(lián)系并將其招募于計(jì)劃中，以協(xié)助我們主動降低系統(tǒng)風(fēng)險(xiǎn)，為客戶創(chuàng)造更安全的使用環(huán)境。在過去一年中，該計(jì)劃取得了卓越成就，在此我們將帶您一同對這項(xiàng)計(jì)劃進(jìn)行回顧：

2022年回顧

雖然Zoom每天都會對基礎(chǔ)設(shè)施進(jìn)行測試，但是我們也難免受到邊緣用例（edge-case）漏洞的影響。因此，我們尋求白帽黑客的支援，他們將協(xié)助我們發(fā)現(xiàn)只在特定情況下才會暴露的系統(tǒng)漏洞。

自設(shè)立以來，Zoom的漏洞獎金計(jì)劃致力于招募熟練、高效的研究人員。2022年，我們特別向活躍的網(wǎng)絡(luò)安全領(lǐng)域人才發(fā)出邀請，希望為HackerOne計(jì)劃擴(kuò)充力量。我們還將納新目光投向計(jì)劃以外，通過H1-702等行業(yè)活動招募白帽黑客。

Zoom向辛勤工作的研究人員和準(zhǔn)確的漏洞報(bào)告給予相應(yīng)的嘉獎。2023財(cái)年，我們向數(shù)百位研究人員發(fā)放了390萬美元的獎勵。自計(jì)劃開始以來，累計(jì)發(fā)放獎金超過700萬美元。

除了找出系統(tǒng)的薄弱環(huán)節(jié)以外，外部研究人員還以其他形式促進(jìn)Zoom發(fā)展。通過他們提交的報(bào)告，Zoom不僅能夠發(fā)現(xiàn)亟需關(guān)注的問題，標(biāo)記問題的深層原因，改善跨部門協(xié)同，還能找到潛在威脅，防患于未然。基于此，過去兩年時間里，漏洞獎金報(bào)告的解決速度大大提升。

2023年計(jì)劃更新和未來展望

今年年初，Zoom更新了本財(cái)年的漏洞獎金計(jì)劃。我們評估了目前計(jì)劃內(nèi)的研究人員，以確保所有參與者都保持活躍并對項(xiàng)目有所貢獻(xiàn)。我們希望以良好的姿態(tài)開始新的一年，這需要我們與高水平、高效的研究人員并肩作戰(zhàn)。

Zoom的Bug Bounty計(jì)劃正在執(zhí)行一套全新的漏洞影響評分系統(tǒng)，以幫助計(jì)劃中的研究人員實(shí)現(xiàn)最佳工作成果。我們?nèi)詫⒀赜米鳛樾袠I(yè)標(biāo)準(zhǔn)的常見漏洞評分系統(tǒng)（CVSS），對報(bào)告進(jìn)行評分。在此基礎(chǔ)上，將增加一個漏洞影響評分系統(tǒng)（VISS）作為配套評分系統(tǒng)。VISS能夠從13個維度逐個分析系統(tǒng)漏洞對Zoom基礎(chǔ)設(shè)施、技術(shù)和客戶數(shù)據(jù)安全的影響。隨著VISS系統(tǒng)投入使用，漏洞獎金計(jì)劃就能夠進(jìn)一步可靠地衡量系統(tǒng)漏洞的影響，而非作為系統(tǒng)理論上被攻擊可能性的參考。

未來的道路

過去一年，Zoom漏洞獎金計(jì)劃取得長足進(jìn)展，不論是運(yùn)行流程、獎勵還是測試范圍，都持續(xù)進(jìn)步并趨于成熟。我們非常期待見證2023年新評分系統(tǒng)的成效和研究人員將取得的豐碩成果。Zoom將與各方攜手，共同保障平臺和用戶的網(wǎng)絡(luò)安全。