LINE.こんにちは、LINEのセキュリティ室でセキュリティエンジニアをしているコキチーズです。Bountyの2018年(1月1日~12月31日)の結果についてご紹介します。Bountyを通しての報告は次のような結果でした。報告件数X軸の数値は第何週かを表しています。認定された報告の合計は88件でした、2017年は45件だったので倍近く増えました。2017年は途中で審査対象の拡大をしたということもありましたが、プログラムの認知が広まり、複数の報告をしてくれるユーザーもいます。営業日換算で言えば、毎日1件以上の報告が来ていて、毎週1件以上の認定がされています。脆弱性の種類別には次のようになっています。Fameとして認定された中で1番多いのはOtherで15件で、次いで多いのがXSSでした。Otherはユーザーが自力で回復不能なクライアント上のDoSや複合的な問題などカテゴライズにはないけどインパクトの大きい問題に対して認定しています。XSSはLINEアプリ内のCordovaのWebViewでサービス提供されているアプリケーションの脆弱性で認定されています。Fame認定を行っています。Injectionが原因でシステムコールまで可能な脆弱性に10,000USDの認定を行いました。Contributors認定の脆弱性はこの中に含まれていません。認定された報告をしてくれた人は33人でした。だいたい1100万円以上の報奨金の支払いを行いました。2017年が76,500USDで700万円ほどだったのですが、ついに1000万円を越えました。Contributors認定を両方受けている方がいるため、実際の人数より多くなっています。Bountyへの参加する人が年々増えてきて、見つかる脆弱性も増えてきています。今までの参考金額は脆弱性の種類を基準にしていましたが、同じ脆弱性でも影響の度合いやアプリケーションの重要度によって参考価格より高い金額が支払われていたので、実態に即した形に参考金額テーブルをアップデートし、よりスッキリとわかりやすくまとめました。何ができるのかという点を基準にカテゴライズされ、脆弱性の脅威と影響範囲、アプリケーションの重要度を基に金額の審査が行われます。$10,000このテーブルのカテゴライズ自体はよくあるものですが、少し違う点があります。Executionとして認定し高い報奨金を設定しています。clientの重要なアプリケーションとして評価されます。参考金額であり、必ずこの金額になるというわけではないので注意してください。参考金額より低くなる例として、特定の機種の特定のバージョンでしか再現できない場合などが当てはまります。一部カテゴライズが一緒になったことで値上がりする脆弱性などもありますが、基本的にはテーブルの見た目が変わっただけなので、既存の報告も新規の報告も同じ基準で審査され脆弱性のリワードが決まるのでご安心ください。Bountyでは特別多くの報告をしてくれている人や惜しくも報奨金の対象にはならなかったけれども有益な報告をしてくれた人にTシャツをプレゼントしています。嬉しいことに、私達のサービスを愛し、繰り返し脆弱性を報告してくれている人の中には全てのTシャツをコンプリートした人もいます。Tシャツの種類を追加することも考えましたが、報告者の衣装ケースが溢れてしまうかもしれないと心配し、よりコンパクトで普段から持ち運びしやすいアイテムを追加することにしました。FIDO2に対応していて、NFCも対応しています。2019年2月時点では、Tシャツを全てゲットした人が再度「報奨金認定の基準に達してないけど、いい報告なのでお礼をしたい」という場合に配布を予定しています。Bountyに参加していただき、本当にありがとうございました。今年も報告者の方とよりよい関係を築きLINEのユーザーが安全にサービスを使えるように務めていきます。Developers日本語English。