2017 年，GitHub 支付了 16.6 万美元的安全漏洞赏金

近日，GitHub 在其博客上公布，2017 年它们针对“安全漏洞赏金”这个项目共支付了约 16.6 万美元。“安全漏洞赏金”是一个为期四年的项目，2017 年恰好是这个项目的第四年，通过这个项目，安全研究人员可上报自己发现关于 GitHub 的系统问题和安全漏洞。

与 2016 年支付的 8.17 万美元相比，去年的支出总额翻了一倍多，几乎等于该计划前三年支付的总支出：17.7 万美元。而在该计划的头两年，该公司支付了 9.53 万美元的赏金。

此外，2017 年，GitHub 一共收到了 840 份漏洞报告意见书，但最终解决问题并获得赏金的比例只有 15%（约 121 份）。2016 年，GitHub 共收到了 795 份漏洞报告意见书，最终获得奖励的只有 73 份，而其中只有 48 份有效报告出现在漏洞赏金项目的主页上。

可以看到，去年有效报告的数量有了显著的上升，继而推动了总支出的增加，这也导致 GitHub 在去年十月重新评估其支付结构。结果就是，赏金增加了一倍，其中最低和最高支出分别为 555 美元和 20000 美元。

随着参与项目的安全研究人员、计划举措以及奖金支出的不断增加，2017 年是迄今为止支付赏金最多的一年。此外，他们还把 GitHub Enterprise 引入到安全漏洞赏金项目，让研究人员能够在 GitHub.com 上一些未公开的、或是特定于某个企业部署的领域里找到漏洞。

同样的，GitHub 计划进一步扩大去年取得成功的举措，推出更多私人奖励和研究补助金。

原文：SecurityWeek 编译：开源中国