文中创作者史中，雷锋网主笔。关心网络信息安全，期待用简易地语言表达表述高新科技的一切。

HackerOne是英国知名的漏洞众测公司，它最开始开辟了一种方式：汇聚诸多的黑客，一起为公司找漏洞。

现阶段，全世界致命性的互联网技术公司 Yahoo、Twitter、Adobe、Uber、facebook 等都是会在 HackerOne 上公布漏洞奖励计划，热烈欢迎白帽（着眼于网络信息安全的黑客）们检测自身的网络信息安全。

HackerOne 的运营模式，在全球获得了营销推广，我国的诸多漏洞服务平台也借助这类方式 吸引住到诸多钟爱网络信息安全技术性的白帽，为各大型企业找寻安全性漏洞。

HackerOne 的 COO 王宁是一位旅美中国人，她30年前于北京大学大学毕业，得到李政道学业奖学金，而且修读了blog里大学物理学博士研究生。近期她赶到我国报名参加漏洞服务平台补天举行的白帽子交流会，雷锋网(微信公众号：雷锋网)宅客频道栏目访谈到她，在她来看，漏洞服务平台只需运作在确立的标准下，就可以得到诸多公司和白帽的信赖，进而迅速发展趋势。

【HackerOne COO 王宁】

下列是雷锋网宅客频道栏目访谈梳理：

Michiel Prins 和 Jobert Abma 是大家四个创始人中的2个，她们全是黑客。她们是老同学，从儿童时代就一直是好朋友，普通高中的情况下她们开始学习黑客技术性。

在她们创立 HackerOne 以前，以前开过一家安全性资询公司。在经营这个资询公司时，她们造成一个念头：为什么不可以找一找美国硅谷百强企业高新科技公司的安全性漏洞呢？

她们感觉，假如能向这种高新科技公司递交一些真实的漏洞，就可以从她们那边获得一些安全性资询业务流程。可是，具体情况有点儿坑人：

这100家公司中有 1/3 的公司压根没理她们，此外 1/3 的人回应说“感谢，大家不用”，最终 1/3 的人回电子邮件说想和她们聊一聊，有的乃至聘用她们。这个想聘请她们的公司便是 Fackbook。

如今 HackerOne 的 CTO，也是此外一个创始人 Alex Rice，那时候是 Facebook 的安全产品精英团队责任人。Alex 邀约 Michiel 和 Jobert 到 Facebook 碰面聊一聊，并聘用她们来做一个新项目。这一工作经验使 Michiel 和 Jobert 意识到：

创建一个服务平台，促使白帽子黑客更非常容易向公司公司递交安全性漏洞，这件事情是有使用价值的。

在 Faceboo k初次大会一年后，Alex 离开 Facebook，并与 Michiel 和 Jobert 协作自主创业，这就是HackerOne 创立的小故事。

因为大家的创办精英团队包含白帽黑客（Michiel和Jobert）、安全性权威专家（Alex）和有工作经验的职业经理人（Merijn Terheggen），她们在很早以前的环节就设置了大家的服务平台标准：

仅有公司受权以后，白帽才可以找寻而且递交漏洞。

从创立的初期，大家的精英团队就一直提议公司制订确立的漏洞奖励计划，确立找寻漏洞的范畴，也有披露现行政策和接近付款方式 。 因此，大家的服务平台并沒有碰到黑客和公司产生矛盾的状况。

黑客和顾客中间有时会出现一些误会。

一般状况下，是由于漏洞激励计划沒有写的很确立，因而白帽子黑客误会了一些检测标准或悬赏金规则或披露现行政策。

当这类状况产生时，能够 在大家服务平台上申请办理“协商”。大家的安全性权威专家和客服经理便会干预，详细审查状况，并和黑客和公司的安全性精英团队一起探讨，找寻最好解决方法。

比如，有一次黑客发觉了一个比较严重漏洞，一般状况下那样的漏洞能够 得到丰富的奖励金。殊不知，顾客却不愿意投入巨额奖励金。这一黑客十分心寒，因此使我们干预融洽。大家发觉顾客不愿意付巨额奖励金的缘故是：这一漏洞归属于它的第三方营销型网站，她们感觉这一网址不应该在奖励范畴以内。

可是，在公司一开始递交给大家的漏洞奖励计划中，并沒有确立表明营销型网站不符奖励标准。因此大家提议公司改动计划网页页面，防止这类踢皮球的事情产生。最终大家又提议公司给黑客此外付款一些小额贷款奖励金。

这一件事儿就是这样相对性友善地解决了。

在 HackerOne的服务平台上，全部的漏洞奖励计划都从前边说到的漏洞奖励计划网页页面的拟定逐渐。这一网页页面包含了全部详尽的标准。这一点上而言，阅批部门和全部的公司是一样的。

可是假如你为阅批部门或是大中型公司找寻漏洞，提议你得细心读一下漏洞奖励计划网页页面，乃至你很有可能还得阅读文章一下这种机构的法律部门的要求。那样才可以确保你一直在找寻漏洞的全过程里能获得最好是的实际效果。

举例来说，大家服务平台上有一个新项目：黑掉五角大楼。

这一新项目仅有美国国籍才可以才与，假如想得到奖励金，黑客也要接纳背调。

总而言之，不论是阅批部门還是大公司，清晰定义范畴和标准是十分关键的，只需黑客们清晰地懂了参加的标准，就不容易发生难题。

披露现行政策实际上十分关键。在 HackerOne，大家应对漏洞披露时尤其当心。

大家服务平台上有一个披露手册，一般状况下，公司和黑客都依照这一来开展。但每一个单独的奖励计划都能够明确自身的披露现行政策，假如与大家的披露提议发生冲突，大会顾客的披露现行政策为标准。大家很激励黑客和公司披露早已修补的漏洞，那样别人就可以防止在未来造成相近的漏洞。

但大家也了解，有一些公司不愿表露一切漏洞信息内容。

因此针对漏洞披露，最后的话语权還是在公司。不管公司是否高度重视他们本身的安全性，大家都绝对不会擅自披露他人的漏洞。

这一点在大家看来是十分关键的。

我以前说到，在创建HackerOne以前，大家的2个创始人有一家安全性资询公司。她们的公司干了很多不一样种类的咨询项目。事实上，HackerOne 与传统式的安全性测试服务项目并沒有过多的矛盾。

反过来，在 HackerOne 的初期，在我们的顾客必须安全性测试时，大家会把要求转交到了一些传统式的安全性资询公司。自2016年至今，我们自己也拥有安全性测试服务项目。自然假如顾客喜爱自身找寻安全性测试服务提供商，大家都没有难题，不容易奢求。

大家仅仅告知大家的顾客，大家一样出示全方位的安全性测试服务项目，这也有利于漏洞奖励计划的执行。

HackerOne 由黑客和安全性权威专家构成。 这保证 了在我们出示服务平台服务项目的情况下，可以立在公司和黑客的均衡点。

这类保持中立的见解促使大家得到了小区中的黑客和顾客的信赖。大家感觉黑客的取得成功能够 顾客获益。因此大家精心策划了服务平台上的很多作用和工作内容，而且常常征求黑客和顾客的改善提议，让她们都能够信赖大家。

比如我以前说到的“协商”作用，便是大家的顾客公司 Uber 和黑客一起奉献的。

8、众测方式是由 HackerOne 开辟的，这类方式是否有被竞争对手快速拷贝？ HackerOne 是怎样解决这类市场竞争的？

Google，微软公司和Facebook开辟了“漏洞悬赏金计划”。 大家的创始人遭受这种计划的启迪，创造发明了众测平台方式。

自打大家创建 HackerOne 至今，全世界有很多公司拷贝了大家的服务平台作用和运营模式，包含我国。

针对大家而言，为了更好地维持发展趋势，就务必更快自主创新，维持领跑。今日这一时期，靠防御是不太可能守好自身的优点的。我很赏析amazon的 AWS，你看看她们自主创新的速率有多快。恰好是借助自主创新，她们才可以一直领跑敌人，占有市场占有率。

全部公司和机构对她们的安全性漏洞都十分比较敏感，比如：谁能够 查询这种漏洞，怎样公布披露漏洞。 中国与美国的公司和机构在这个问题上的敏感度十分类似。

我所见到的不同点取决于：

在国外，很多公司都很愿意在漏洞服务平台上发布漏洞奖励计划，她们感觉这对公司的品牌效应而言是一件好事。大部分英国公司不容易独立核查每一个黑客的情况。

在我国，好像大部分漏洞计划全是“弄虚作假”的，每一个黑客在参加漏洞计划以前都必须被公司独立核查情况。

因此我认为，在我国运作的漏洞奖励计划好像规范更严苛。

10、听闻许多著名的成人网站都和 HackerOne 有协作，我想问一下和成人网站协作的全过程中，有哪些有趣的小故事？比如 Pornhub ，她们针对安全性有哪些与众不同的需求吗？

成人在线视频领域是一个非常大的领域，他们会造成极大的互联网技术总流量。 在色情网站 Pornhub 公布她们的漏洞奖励计划的当日，给大家的网址也产生了极大的总流量，它是大家网站访问量最大的一天！

可是她们的漏洞奖励计划和大家服务平台上的别的计划一样，沒有一切特别要求。我认为 Pornhub 在大家的服务平台上的漏洞奖励计划运作很成功，希望有大量像 Pornhub 一样的公司来 HackerOne 公布她们的漏洞计划。

文中由雷锋网宅客频道栏目先发，大量网络信息安全內容热烈欢迎扫码关注：宅客频道栏目。

雷锋网原创文章内容，没经受权严禁转截。详细信息见转截注意事项。