요약:
반도체 거대 기업인 인텔은 최근 오랫동안 운영해 온 '버그 바운티' 사이버 보안 취약성 포상금 프로그램을 공식 종료했다고 발표했습니다. 프로그램의 이전 보상 구조에 따르면, 외부 보안 연구원과 화이트 해커는 인텔 하드웨어, 펌웨어 또는 중요 소프트웨어에서 고위험 보안 취약성을 발견하고 비공개적으로 보고한 대가로 최대 100,000달러의 현금 보상을 받을 수 있었습니다. 이러한 전략적 조정은 인텔의 보안 취약성 수집 및 보안 커뮤니티 협력 모델에 큰 변화를 가져옵니다.
세계 주요 칩 제조업체인 Intel의 버그 보상금 프로그램은 지난 몇 년간 중추적인 역할을 해왔습니다. 특히 스펙터(Spectre), 멜트다운(Meltdown)과 같은 일련의 하드웨어 수준 예측 실행 및 사이드 채널 공격 취약점이 전 세계적으로 주목을 받은 이후, 이 프로그램은 인텔이 잠재적인 취약점을 해결하고 제로데이 공격을 방지하기 위해 세계 최고의 보안 전문가를 유치하는 핵심 방어선이 되었습니다. 그러나 글로벌 사이버 보안 규정 준수 요구 사항이 발전하고 회사의 내부 보안 전략이 재구상됨에 따라 인텔은 이러한 높은 현금 보상 모델을 종료하기로 결정했습니다.
인텔은 대중 및 독립 연구원을 대상으로 한 버그 바운티 프로그램을 종료했지만 이것이 제품 보안 방어를 완화한다는 의미는 아니라고 강조했습니다. 인텔은 앞으로 자사의 대규모 내부 보안 연구 개발 팀에 더욱 크게 의존하는 동시에 신뢰할 수 있는 특정 제3자 보안 기관, 학계 파트너 및 업계 제휴와의 표적 보안 테스트 협력을 심화할 것이라고 밝혔습니다. 또한 인텔은 연구원이 제출한 취약성 보고서에 대해 규정을 준수하는 조정된 공개 채널을 계속 유지할 예정이지만 더 이상 이전의 높은 금전적 보상과 일치하도록 자동으로 약속하지는 않습니다.
사이버 보안 업계는 인텔의 결정에 대해 엇갈린 반응을 보였습니다. 직접적인 금전적 인센티브가 부족하면 독립적인 해커가 취약점을 제조업체에 직접 보고하려는 열정이 줄어들 수 있으며 일부 공개되지 않은 취약점이 암시장으로 이전될 수도 있습니다. 그러나 일부 분석가들은 점점 더 복잡해지는 칩 아키텍처에 직면하여 일반 공개 바운티에 의존하는 것은 더 이상 심각한 기술적 위험을 처리할 수 없다고 생각합니다. 보다 체계적인 사전 보안 검토 및 목표 협력을 구축하기 위해 예산을 이동하는 것은 현재의 비용 및 효율성을 고려할 때 칩 제조업체에게는 불가피한 선택일 수 있습니다.
댓글