Navigation – Plan du site

AccueilNuméros172Hackers’ self-selection in crowds...

Hackers’ self-selection in crowdsourced bug bounty programs

Auto-sélection des hackers dans les programmes « crowdsourcés » de chasse aux bogues
Arrah-Marie Jo
p. 83-132

Résumés

Un « programme de chasse aux bogues » consiste à récompenser des individus lorsqu’ils trouvent des failles de sécurité dans un logiciel ou un système. C’est une forme de crowdsourcing utilisée de manière croissante par les entreprises qui souhaitent améliorer la sécurité de leur système, mécanisme représentatif du marché des vulnérabilités qui capitalise sur la contribution des tierce-parties. A travers l’analyse de données de panel sur 156 programmes de chasse aux bogues gérés sur la plateforme HackerOne, nous montrons comment la perception de l’incertitude à être rémunérés des hackers, défini par le niveau de détail des termes contractuels, affecte leur choix de participation et par conséquent l’efficacité du programme.

Haut de page

Notes de l'auteur

I thank Marc Bourreau for his support and the three anonymous reviewers for their valuable comments, which were of great help in improving the paper. I also thank Maya Bacache, Thierry Pénard, Christine Zulehner, and the seminar audiences at 3EN 2018, EARIE 2018, DIF Lyon 2018, ZEW summer Workshop 2018, and at the 2019 TSE Digital Seminar for their useful comments on a previous version of the paper.

Extrait du texte

Cairn

Texte intégral en libre accès disponible sur le portail Cairn. Le texte intégral en libre accès sera disponible à cette adresse en janvier 2024.
Consulter cet article

Plan

1. Introduction
2. Related literature
3. Hypothesis development
4. Data and empirical framework
4.1. Data
4.2. Empirical specifications
4.3. Summary statistics
5. Results
5.1. The effect of the level of information of a VRP’s policy on the number of participations
5.2. The effect of the Level of information of a VRP’s policy on the performance and experience Levels of participants
6. Discussion and conclusion
6.1. Managerial implications for VRP owners
6.2. The bug bounty platform

Aperçu du texte

1. Introduction

Five years ago, a 17-year-old teenager in India discovered a serious vulnerability in several airline booking systems that allowed travelers to get free plane tickets. Despite his effort to contact the airline companies and to alert them about the flaw, only one company took him seriously and reacted. This is less true nowadays: an increasing number of companies seek to collaborate with benign vulnerability identifiers—the so-called white-hat hackers—to improve their systems’ security. Methodical approaches have been developed to work with independent researchers, such as offering incentives in the form of a “bounty”. Organizations started running Vulnerability Research Programs (VRPs)—also commonly called Bug Bounty Programs—which give monetary compensation to crowdsourced resources in exchange for information about vulnerabilities. Along with it, web platforms called “Bug bounty platforms” have emerged, hosting and managing these VRPs as a third party (E.g. HackerOn...

Haut de page

Pour citer cet article

Référence papier

Arrah-Marie Jo, « Hackers’ self-selection in crowdsourced bug bounty programs »Revue d'économie industrielle, 172 | 2020, 83-132.

Référence électronique

Arrah-Marie Jo, « Hackers’ self-selection in crowdsourced bug bounty programs »Revue d'économie industrielle [En ligne], 172 | 4e trimestre 2020, mis en ligne le 02 janvier 2024, consulté le 05 décembre 2023. URL : http://journals.openedition.org/rei/9519 ; DOI : https://doi.org/10.4000/rei.9519

Haut de page

Auteur

Arrah-Marie Jo

IMT Atlantique, arrahmarie.jo[at]gmail.com
December 2020

Haut de page

Droits d'auteur

CC-BY-NC-ND-4.0

Le texte seul est utilisable sous licence CC BY-NC-ND 4.0. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.

Haut de page
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search