HackerOneはバグバウンティプログラム(BBP)に参加するハッカーに対し、本人確認を義務付ける新方針を導入しました。これにより、プラットフォーム上での研究者の参加資格や報奨金支払いの管理方法が大きく変わります。
今回の更新により、ハッカーは報奨金の支払いを受ける前に本人確認を完了させる必要があります。一部のプログラムでは、対象システムの機密性の高さから、レポート提出前の段階で本人確認を求めるケースもあります。
脆弱性開示プログラム(Vulnerability Disclosure Programs)はこの方針の対象外で、引き続き本人確認なしで一般からの報告を受け付けます。これにより、金銭的な報酬を求めずに脆弱性を報告する研究者に対しては、オープンなアクセスが維持されます。
一方、バグバウンティプログラムでは、報奨金を求めるすべてのハッカーに本人確認が必須となります。HackerOneはこの措置について、研究者への報奨金支払いに関する規制要件を満たすために必要な対応だと説明しています。有効なレポートを提出済みのハッカーであれば、誰でも本人確認プロセスを開始できます。
手続きはハッカーのユーザープロフィールページにある「ID Verification」セクションから開始します。研究者はまずHackerOneの行動規範(Rules of Engagement)に署名した上で、プラットフォームのサードパーティ本人確認ベンダーであるVeriffを通じて確認手続きに進みます。
申請者は、パスポート、運転免許証、IDカード、在留許可証など、有効かつ損傷のない実物のIDを用意する必要があります。Veriffはデジタルコピーを受け付けていません。
セッション中は、VPN、トラフィック匿名化ツール、脱獄済みデバイス、SDKエミュレーター、iOSデバイスのプライベート返信機能の使用を避けなければなりません。これらのいずれかを使用すると、自動的に却下されます。
また、申請者は18歳以上である必要があります。Veriffのセッションではデータ収集が成功したかどうかが確認できますが、HackerOneは本人確認結果について別途メールで最終通知を送ります。
ID Verificationは永続的なものではなく、12ヶ月ごとに再取得が必要です。本人確認および元となるID書類の有効期限が切れる1ヶ月前に、更新を促す通知が送られます。
この期限を過ぎてしまったハッカーは、本人確認の権限、確認が必要なプログラムへのアクセス、そしてプロフィール上のグリーンバッジを失うことになります。
この点は、HackerOneのClearプログラムに参加する研究者にとって、なおさら重要な意味を持ちます。Clearは通常の本人確認に加えて犯罪歴確認を重ねる、より厳格な階層であり、Clearのステータスを維持するには一定水準のパフォーマンス、評判、シグナルレベルを保つ必要があります。
HackerOneは同様の厳格な審査をプラットフォーム上の法人アカウントにも拡大しています。少なくとも1名のアカウントオーナーが法的に権限を持つ代表者として、12ヶ月ごとに本人確認を完了させるとともに、法人名や設立管轄区域を提供する必要があります。
本人確認に失敗する主な原因は、ID記載文字のかすれ、書類の有効期限切れ、IDのコピー使用、バーコード読み取りの不完全さなどです。2回連続で確認に失敗した申請者は、HackerOneサポートに直接連絡し、新しい確認用リンクを発行してもらう必要があります。
企業や政府機関との連携において脆弱性研究を調整するプラットフォームにとって、本人確認の正式な制度化は不正リスクの低減につながるとともに、研究者への報奨金支払いに関するコンプライアンス強化にも寄与します。
これは業界全体に広がる傾向も反映しています。他のバウンティプラットフォームでも同様に、参加資格の確認や制裁対象・参加禁止者の排除を目的として、KYC(Know Your Customer)確認を求める動きが見られます。現在バグバウンティプログラムで活動中のハッカーは、保留中の報奨金支払いに支障が出ないよう、速やかに自身の本人確認ステータスを確認しておくべきでしょう。
SOC調査の死角を減らし、脅威をより早く封じ込めることで、ANY.RUNにより対応コストと業務中断を削減できます。
翻訳元: https://cyberpress.org/hackerone-makes-identity-verification-mandatory/