Seputar Bug Hunter, Bug Bounty Program dan Tips Pembuatan Laporan Kerentanan yang Baik

Namun demikian, sayangnya tidak sedikit para bug hunter yang cukup kesulitan dalam berkomunikasi dengan developer. Hal ini biasa terjadi misal ketika bug hunter ingin menghubungi developer terkait saat pertama kali menemukan celah keamanan. 

Ini juga termasuk sulitnya merangkai suatu laporan sehingga berujung pada beberapa situasi kurang baik seperti kurang pahamnya penerima laporan dalam memahami kerentanan maupun dampak dari kerentanan terkait. Misalkan saja ketika pada akhirnya seorang bug hunter membuat laporan yang sifatnya terlalu umum dan tidak memberikan petunjuk terhadap akar dari suatu permasalahan. 

Selain itu dalam beberapa kasus ada juga seorang penguji yang tidak bisa menjalin komunikasi yang baik dengan  developer karena tidak memperhatikan etika-etika dalam melaporkan sebuah permasalah terkait celah keamanan pada product scope yang dimiliki.

Pada umumnya, developer sebagai penerima laporan akan mengalami kesulitan yang berarti dalam mengidentifikasi suatu permasalahan sebagaimana yang telah dipaparkan sebelumnya. Terkadang ada juga security team (sebutan bagi tim keamanan sistem) sebagai penerima bukanlah tim developer sebagai pembuat. Sehingga di dalam realitanya, mereka tetap akan memerlukan waktu untuk memahami isi laporan dan flow dari objek yang dianggap rentan. 

BERKURANGNYA BOUNTY DAN BEBERAPA ISTILAH DALAM PROGRAM BUG BOUNTY: NOT APPLICABLE, INFORMATIVE DAN DUPLICATE

Ketika seorang bug hunter gagal mengkomunikasikan celah keamanan yang ada, maka bukan tidak mungkin bila nilai bounty yang diperoleh akan berkurang dari nilai yang seharusnya didapat. Pada situasi lain, bahkan sangat memungkinkan ketika kesempatan memperoleh bounty ini menjadi hilang. Dan yang terburuk apabila developer malah menganggap tindakan yang dilakukan bug hunter adalah ilegal.

Masalah lain mungkin saja muncul apabila penutupan kerentanan yang tidak efektif atau memungkinkan munculnya kerentanan baru. Dan masih banyak lagi kemungkinan-kemungkinan lain yang dapat muncul, seperti berkurangnya prioritas untuk laporan ditanggapi oleh pemilik program atau bahkan tidak dipercayanya bug hunter untuk melakukan uji celah keamanan yang ada dan mengancam karir serta dari bug hunter itu sendiri.

Dalam program bug bounty terdapat istilah-istilah untuk penutupan laporan dengan indikasi bahwa suatu laporan bug tidak dapat diterima, invalid, tidak terlalu berbahaya ataupun tidak layak menerima bounty yang biasa disebut dengan closed report state diantaranya sebagai berikut:

1) Informative

Status ini diberikan apabila laporan bug berisi informasi yang berguna tetapi tidak menjamin tindakan segera atau perbaikan. Contoh laporan informatif meliputi:
- Pemberitahuan tautan rusak
- Masalahnya tidak dapat direprocude secara konsisten

- Celah keamanan yang dilaporkan tidak terlalu membahayakan sistem utama.
Dalam status ini sebuah program dapat mempertimbangkan untuk memberikan penilaian risiko alternatif atau faktor mitigasi lainnya. Kemudian laporan menjadi disclosed (laporan dibuka ke publik) atas dasar kesepakatan bersama setelah bug dianggap telah selesai dan tidak lagi memerlukan informasi tambahan dari bug hunter.