बग बाउंटी क्या है

नोट: यह दस्तावेज़ मूल अंग्रेजी संस्करण का स्वचालित अनुवाद है।

बग बाउंटी क्या है

बग बाउंटी एक ऐसा प्रोग्राम है जिसमें कोई प्रोजेक्ट उन स्वतंत्र सुरक्षा शोधकर्ताओं को वित्तीय पुरस्कार देता है जो उसके कोड में कमज़ोरियाँ (vulnerabilities) खोजते हैं और उन्हें ज़िम्मेदारी से रिपोर्ट करते हैं। केवल आंतरिक टीम या किराए पर लिए गए ऑडिटर पर निर्भर रहने के बजाय, बग बाउंटी बग की खोज को वैश्विक सुरक्षा समुदाय के लिए खोल देता है — कौशल रखने वाला कोई भी व्यक्ति भाग ले सकता है, और प्रोजेक्ट केवल तभी भुगतान करता है जब वैध कमज़ोरियाँ मिलती हैं।

बग बाउंटी की कल्पना ऐसे करें जैसे आपने अपनी इमारत के हर ताले की जाँच के लिए तालासाज़ों की एक भीड़ को नियुक्त किया हो, एक स्थायी पेशकश के साथ: यदि किसी को ऐसा ताला मिलता है जिसे खोला जा सकता है, तो उसे भुगतान मिलेगा। जब तक कोई वास्तविक खामी नहीं मिलती, आप भुगतान नहीं करते, और तालासाज़ अधिक मेहनत से खोज करने के लिए प्रेरित रहते हैं क्योंकि पुरस्कार पाई गई खामी की गंभीरता के अनुपात में होता है। क्रिप्टो में यही सिद्धांत स्मार्ट कॉन्ट्रैक्ट कोड, प्रोटोकॉल लॉजिक और इन्फ्रास्ट्रक्चर सुरक्षा पर लागू होता है।

संक्षेप में: बग बाउंटी एक क्राउडसोर्स्ड सुरक्षा प्रोग्राम है जो कमज़ोरियाँ खोजने और रिपोर्ट करने के लिए स्वतंत्र शोधकर्ताओं को भुगतान करता है — यह निरंतर, खुले दायरे वाली सुरक्षा कवरेज प्रदान करता है जो संरचित ऑडिट की पूरक है।

बग बाउंटी कैसे काम करता है

प्रोग्राम की संरचना

बग बाउंटी प्रोग्राम कई प्रमुख तत्वों को परिभाषित करता है:

• दायरा (Scope) — कौन से कॉन्ट्रैक्ट, कोड रिपॉज़िटरी, फ्रंटएंड, API या इन्फ्रास्ट्रक्चर घटक सबमिशन के लिए पात्र हैं। दायरे से बाहर की वस्तुओं को स्पष्ट रूप से बाहर रखा जाता है ताकि व्यर्थ प्रयास और झूठी रिपोर्टें न हों।
• गंभीरता स्तर — कमज़ोरियों को प्रभाव के आधार पर वर्गीकृत किया जाता है, आमतौर पर Critical, High, Medium और Low जैसे पैमाने पर। हर स्तर के लिए एक निर्धारित पुरस्कार सीमा होती है।
• पुरस्कार राशि — भुगतान कम-गंभीरता वाली खोजों के लिए कुछ सौ डॉलर से लेकर उन गंभीर (critical) कमज़ोरियों के लिए सैकड़ों हज़ारों डॉलर (या अधिक) तक होता है जिनसे उपयोगकर्ता फंड का नुकसान हो सकता है। कुछ प्रमुख DeFi प्रोटोकॉल गंभीर बग के लिए दस लाख डॉलर से अधिक के पुरस्कार देते हैं।
• भागीदारी के नियम — शोधकर्ताओं को ज़िम्मेदार खुलासे (responsible disclosure) की प्रथाओं का पालन करना होता है: निजी रूप से रिपोर्ट करें, कमज़ोरी का शोषण न करें, फ़िक्स लागू होने से पहले सार्वजनिक खुलासा न करें, और वास्तविक उपयोगकर्ता फंड के साथ मेननेट पर परीक्षण न करें। इन नियमों का उल्लंघन आमतौर पर सबमिशन को अयोग्य बना देता है।

सबमिशन और ट्राइएज

जब कोई शोधकर्ता संभावित कमज़ोरी खोजता है, तो वह बग बाउंटी प्लेटफ़ॉर्म के माध्यम से या सीधे प्रोजेक्ट को एक विस्तृत रिपोर्ट सबमिट करता है। रिपोर्ट में कमज़ोरी का विवरण, एक्सप्लॉइट प्रदर्शित करने वाला प्रूफ़ ऑफ़ कॉन्सेप्ट, अनुमानित प्रभाव, और यदि लागू हो तो सुझाया गया फ़िक्स शामिल होता है।

प्रोजेक्ट की सुरक्षा टीम (या बग बाउंटी प्लेटफ़ॉर्म की ट्राइएज टीम) सबमिशन की समीक्षा करती है, खोज को सत्यापित करती है, उसकी गंभीरता का आकलन करती है और उचित पुरस्कार निर्धारित करती है। समस्या की जटिलता के आधार पर इस प्रक्रिया में कुछ दिनों से लेकर हफ्तों तक का समय लग सकता है। कमज़ोरी की पुष्टि होने और उसे ठीक करने के बाद, शोधकर्ता को भुगतान मिलता है और खोज को (शोधकर्ता की सहमति से) सार्वजनिक रूप से प्रकाशित किया जा सकता है ताकि समुदाय का विश्वास और ज्ञान बढ़े।

बग बाउंटी प्लेटफ़ॉर्म

कई प्लेटफ़ॉर्म ब्लॉकचेन प्रोजेक्ट के लिए बग बाउंटी प्रोग्राम के प्रबंधन में विशेषज्ञता रखते हैं:

• Immunefi — DeFi और ब्लॉकचेन बग बाउंटी के लिए प्रमुख प्लेटफ़ॉर्म, जो प्रमुख प्रोटोकॉल के प्रोग्राम होस्ट करता है और उद्योग के सबसे बड़े पुरस्कार पूलों में से कुछ की मेज़बानी करता है।
• HackerOne और Bugcrowd — सामान्य-उद्देश्य वाले बग बाउंटी प्लेटफ़ॉर्म, जिनका उपयोग कुछ क्रिप्टो प्रोजेक्ट भी करते हैं, विशेष रूप से वेब एप्लिकेशन और इन्फ्रास्ट्रक्चर सुरक्षा के लिए।

ये प्लेटफ़ॉर्म सबमिशन प्रबंधन, ट्राइएज सहायता, भुगतान प्रोसेसिंग संभालते हैं और शोधकर्ताओं तथा प्रोजेक्टों के बीच विश्वास की एक परत प्रदान करते हैं। वे शोधकर्ताओं के लिए सार्वजनिक लीडरबोर्ड और प्रतिष्ठा प्रणालियाँ भी बनाए रखते हैं।

क्रिप्टो AI प्रोजेक्ट के लिए बग बाउंटी क्यों मायने रखता है

निरंतर सुरक्षा कवरेज

स्मार्ट कॉन्ट्रैक्ट ऑडिट एक निश्चित समय-बिंदु की समीक्षा है — वह कोड की जाँच उसी रूप में करता है जैसा वह किसी विशेष क्षण में मौजूद है। ऑडिट के बाद कोड बदल सकता है, नए कॉन्ट्रैक्ट डिप्लॉय हो सकते हैं, और प्रोटोकॉल नई बाहरी प्रणालियों के साथ इंटरैक्ट कर सकता है। बग बाउंटी निरंतर सुरक्षा कवरेज प्रदान करता है: जब तक प्रोग्राम सक्रिय है, दुनिया भर के शोधकर्ता कोड के वर्तमान, लाइव संस्करण में कमज़ोरियाँ खोजने के लिए प्रोत्साहित रहते हैं।

विविध विशेषज्ञता

कोई भी एक ऑडिट टीम हर संभावित हमले के मार्ग को कवर नहीं कर सकती। बग बाउंटी प्रोग्राम विविध पृष्ठभूमि, विशेषज्ञता और दृष्टिकोण वाले शोधकर्ताओं को आकर्षित करते हैं। कुछ रीएंट्रेंसी हमलों में विशेषज्ञ होते हैं, कुछ आर्थिक एक्सप्लॉइट में, कुछ क्रॉस-चेन ब्रिज कमज़ोरियों में, और कुछ ऑफचेन इन्फ्रास्ट्रक्चर में। विशेषज्ञता की यह विविधता उन कमज़ोरियों के मिलने की संभावना बढ़ाती है जिन्हें कोई एक ऑडिट टीम छोड़ सकती है।

प्रोत्साहनों का संरेखण

बग बाउंटी शोधकर्ताओं के लिए कमज़ोरियों का शोषण करने के बजाय उन्हें रिपोर्ट करने का वित्तीय प्रोत्साहन बनाता है। बग बाउंटी की अनुपस्थिति में, कोई गंभीर खामी खोजने वाले शोधकर्ता के सामने विकल्प होता है: उसे मुफ़्त में (या अधिकतम एक छोटे धन्यवाद के बदले) रिपोर्ट करे, या संभावित बड़े वित्तीय लाभ के लिए उसका शोषण करे। एक अच्छी तरह वित्तपोषित बग बाउंटी इस गणित को बदल देता है और ज़िम्मेदार खुलासे को अधिक लाभदायक विकल्प बना देता है।

सुरक्षा प्रतिबद्धता का संकेत

DecAIHub में सूचीबद्ध प्रोजेक्टों के लिए, सार्थक पुरस्कार राशि वाला सक्रिय बग बाउंटी प्रोग्राम यह संकेत देता है कि टीम सुरक्षा को एक निरंतर चिंता के रूप में लेती है, न कि एक बार का चेकबॉक्स। जिस प्रोजेक्ट के पास पूर्ण ऑडिट और सक्रिय बग बाउंटी दोनों हैं, वह सुरक्षा के प्रति स्तरित दृष्टिकोण दिखाता है — स्मार्ट कॉन्ट्रैक्ट-आधारित प्रणालियों के लिए उपलब्ध सबसे परिपक्व सुरक्षा मुद्रा।

DecAIHub प्रोजेक्ट कार्ड में यह कहाँ दिखता है

• Bug bounty फ़ील्ड (yes/no/—) — यह दर्शाता है कि प्रोजेक्ट सक्रिय बग बाउंटी प्रोग्राम चलाता है या नहीं। प्रोग्राम, प्लेटफ़ॉर्म (Immunefi, HackerOne आदि) और शर्तों के लिंक links_* फ़ील्ड और/या Evidence तालिका में जाते हैं।
• Evidence: Bug bounty — साक्ष्य तालिका की वह पंक्ति जो सक्रिय प्रोग्राम के अस्तित्व और उसके लिंक को दर्ज करती है।
• Security and incidents अनुभाग — कार्ड का वह हिस्सा जिसमें बग बाउंटी की स्थिति, ऑडिट और प्रोजेक्ट का खतरा मॉडल (threat model) दर्ज होता है।

पर्याप्त पुरस्कारों वाला सक्रिय प्रोग्राम, न्यूनतम भुगतान वाले प्रोग्राम या किसी प्रोग्राम की अनुपस्थिति की तुलना में अधिक मजबूत सुरक्षा संकेत है। ऑडिट स्थिति और बग बाउंटी स्थिति का संयोजन प्रोजेक्ट के ऑनचेन इन्फ्रास्ट्रक्चर की समग्र सुरक्षा परिपक्वता का आकलन करने में मदद करता है: जिन प्रोजेक्टों के पास दोनों में से कुछ नहीं है, वे उच्च जोखिम दर्शाते हैं; जिनके पास दोनों हैं, वे सबसे परिपक्व सुरक्षा मुद्रा दर्शाते हैं।

अकेला बग बाउंटी क्या साबित नहीं करता

• कमज़ोरियों की अनुपस्थिति — बग बाउंटी शोधकर्ताओं को बग खोजने के लिए प्रोत्साहित करता है, लेकिन रिपोर्ट की गई खोजों की अनुपस्थिति यह साबित नहीं करती कि कोड सुरक्षित है। इसका अर्थ हो सकता है कि किसी ने पर्याप्त बारीकी से नहीं देखा, दायरा बहुत संकीर्ण है, या पुरस्कार शीर्ष शोधकर्ताओं को आकर्षित करने के लिए अपर्याप्त हैं।
• कोड की गुणवत्ता — बग बाउंटी एक प्रतिक्रियात्मक तंत्र है। वह बग तब पकड़ता है जब वे मौजूद हो चुके होते हैं, लेकिन वह उस विकास प्रक्रिया को नहीं सुधारता जिसने उन्हें पैदा किया। साफ़ कोड, गहन परीक्षण और ठोस आर्किटेक्चर अलग विषय हैं।
• केवल ऑनचेन सुरक्षा — अधिकांश बग बाउंटी प्रोग्राम स्मार्ट कॉन्ट्रैक्ट और प्रोटोकॉल-स्तर की कमज़ोरियों पर केंद्रित होते हैं। वे ऑफचेन इन्फ्रास्ट्रक्चर, फ्रंटएंड एप्लिकेशन, API सर्वर या AI इन्फ़रेंस पाइपलाइनों को कवर नहीं कर सकते। दायरे की परिभाषा तय करती है कि वास्तव में क्या कवर होता है।
• पुरस्कारों का उचित वितरण — गंभीरता वर्गीकरण और पुरस्कार राशि को लेकर शोधकर्ताओं और प्रोजेक्टों के बीच विवाद होते हैं। सभी प्रोग्राम निष्पक्ष रूप से प्रबंधित नहीं होते। प्लेटफ़ॉर्म की प्रतिष्ठा और सबमिशन संभालने में प्रोजेक्ट का ट्रैक रिकॉर्ड मायने रखता है।
• विकेंद्रीकरण या गवर्नेंस गुणवत्ता — बग बाउंटी एक सुरक्षा तंत्र है, गवर्नेंस संरचना नहीं। मजबूत बग बाउंटी प्रोग्राम वाले प्रोजेक्ट में अब भी पूरी तरह केंद्रीकृत नियंत्रण, अपारदर्शी गवर्नेंस या संकेंद्रित एडमिन कीज़ हो सकती हैं।

भ्रमित न हों

शब्द	अंतर
ऑडिट	ऑडिट एक चयनित टीम द्वारा की गई संरचित, समयबद्ध कोड समीक्षा है। बग बाउंटी किसी के भी लिए कमज़ोरियाँ खोजने का खुला, निरंतर निमंत्रण है। ऑडिट सक्रिय (proactive) होते हैं; बग बाउंटी प्रतिक्रियात्मक और निरंतर होते हैं। वे एक-दूसरे के पूरक हैं।
ज़िम्मेदार खुलासा (Responsible disclosure)	ज़िम्मेदार खुलासा किसी कमज़ोरी को प्रकाशित करने से पहले प्रभावित पक्ष को निजी रूप से रिपोर्ट करने की प्रथा है। बग बाउंटी एक ऐसा प्रोग्राम है जो वित्तीय पुरस्कारों के माध्यम से ज़िम्मेदार खुलासे को प्रोत्साहित करता है। सभी ज़िम्मेदार खुलासे बग बाउंटी के माध्यम से नहीं होते।
बाउंटी प्रोग्राम (गैर-सुरक्षा)	कुछ प्रोजेक्ट गैर-सुरक्षा कार्यों के लिए बाउंटी देते हैं — दस्तावेज़ीकरण, अनुवाद, समुदाय निर्माण। बग बाउंटी विशेष रूप से कोड और इन्फ्रास्ट्रक्चर की सुरक्षा कमज़ोरियों को लक्षित करता है। अकेला "बाउंटी" शब्द अस्पष्ट हो सकता है।

अक्सर पूछे जाने वाले प्रश्न

बग बाउंटी ऑडिट से कैसे अलग है?

ऑडिट एक संरचित, समयबद्ध कार्य है जिसमें सुरक्षा विशेषज्ञों की एक चयनित टीम कोड की व्यवस्थित समीक्षा करती है और एक व्यापक रिपोर्ट तैयार करती है। बग बाउंटी किसी भी योग्य शोधकर्ता के लिए कमज़ोरियाँ खोजने और रिपोर्ट करने का खुला, निरंतर निमंत्रण है। ऑडिट सक्रिय और नियोजित होते हैं; बग बाउंटी प्रतिक्रियात्मक और निरंतर होते हैं। वे अलग-अलग उद्देश्यों की पूर्ति करते हैं और साथ में उपयोग किए जाने पर सबसे प्रभावी होते हैं।

बग बाउंटी प्रोग्राम को प्रभावी क्या बनाता है?

तीन कारक प्रभावशीलता निर्धारित करते हैं: दायरा (प्रोग्राम को सबसे महत्वपूर्ण घटकों को कवर करना चाहिए), पुरस्कार (भुगतान कुशल शोधकर्ताओं को आकर्षित करने के लिए पर्याप्त बड़ा होना चाहिए — विशेष रूप से गंभीर स्तर की खोजों के लिए), और प्रतिक्रियाशीलता (प्रोजेक्ट को सबमिशन का शीघ्र ट्राइएज करना, पारदर्शी संवाद करना और निष्पक्ष भुगतान करना चाहिए)। कम पुरस्कार, संकीर्ण दायरे या खराब ट्राइएज प्रतिष्ठा वाला प्रोग्राम गंभीर शोधकर्ताओं को आकर्षित करने में संघर्ष करेगा।

क्या कोई भी बग बाउंटी में भाग ले सकता है?

आम तौर पर, हाँ। अधिकांश ब्लॉकचेन बग बाउंटी प्रोग्राम किसी भी ऐसे व्यक्ति के लिए खुले हैं जिसके पास कमज़ोरियाँ पहचानने का तकनीकी कौशल है। शोधकर्ताओं को औपचारिक प्रमाणपत्रों या संबद्धताओं की आवश्यकता नहीं होती — उनके सबमिशन की गुणवत्ता ही मायने रखती है। हालांकि, प्रतिभागियों को प्रोग्राम के नियमों का पालन करना होता है: ज़िम्मेदार खुलासा, कमज़ोरी का कोई शोषण नहीं, और वास्तविक उपयोगकर्ता फंड के साथ मेननेट पर कोई परीक्षण नहीं। कानूनी अनुपालन कारणों से प्रतिबंधित (sanctioned) व्यक्तियों या संस्थाओं को बाहर रखा जा सकता है।

बाहरी संदर्भ

• Immunefi — Bug Bounty Platform — DeFi और ब्लॉकचेन प्रोजेक्टों के लिए अग्रणी बग बाउंटी प्लेटफ़ॉर्म, जो उद्योग के सबसे बड़े पुरस्कार पूलों में से कुछ वाले प्रोग्राम होस्ट करता है।

यह भी देखें

• स्मार्ट कॉन्ट्रैक्ट ऑडिट क्या है
• स्मार्ट कॉन्ट्रैक्ट क्या है
• एडमिन कीज़ क्या हैं
• ब्लॉकचेन क्या है