PlayStation官方给一位名叫Jordy的安全研究人员付了五万美金的漏洞赏金, 这位研究人员当时还开玩笑说, 自己这一下子总算是能买得起
01赏金到账与Jordy的调侃
Jordy在社交媒体上透露, 他收到了从索尼那里送来的五万美元漏洞赏金, 他还半开玩笑地说这笔钱总算够他把《GTA6》买回家了。这个奖金对应的是一个严重级别的安全漏洞, 但是公开的报告里并没有披露具体的技术细节。
这一消息, 是被游戏媒体Dexerto给率先报道出来了的, 于是, 就是在PS5的玩家社区里面, 迅速地引发了热烈的讨论。那五万美元的数字了, 它就是索尼这个漏洞赏金计划里面的最高额度了, 这就意味着说, 由Jordy所报告的这个漏洞了, 是对PlayStation平台构成了非常严重的威胁了。
02索尼赏金计划运行三年
索尼在2020年6月的时候, 向广大的公众打开了PlayStation漏洞赏金计划的参与门槛。这一步骤是为了诚邀具备专业知识的安全研究人员, 以及普通的玩家用户来帮忙检查并找出自家产品里面存在的那些不被人所知或者比较隐蔽的安全弱点问题。
整个该计划的执行和运作流程, 都是由HackerOne这个第三方平台来统一提供技术支持与管理的。最终给出来的奖励金额并不是统一的, 而是要按照发现的漏洞严重程度进行划分, 不同的等级对应着不同金额的奖金发放。
根据HackerOne的历史记录来看, 在过往的三年时间段之内, 除了Jordy这个人物之外, 只有另外单一的一名用户曾经获取过额度一样为5万美金的那笔奖金。
那么这个最高的额度的具体设置目的, 是专门用来对报告严重安全漏洞的人员进行奖励的。至于能够拿到这笔奖金所必须具备的条件或者标准, 在整个计划体系内部而言, 其突出程度是非常明显且罕见的。
03Jordy与TheFlow的公开分歧
Jordy 之前因为报告了 PS5 虚拟机监控程序里的漏洞, 卷进了争议的漩涡里。
到了今年的 September 月份的时候, 他公开地承认了说, 研究人员 TheFlow 曾经请求他把这个漏洞的披露时间稍稍推迟一点去处理一下, 当时他的表现是起初同意了说暂缓发布, 但是最后在关键的时间节点上, 他心里面还是最终选择了要把相关的信息向索尼公司那边进行正式报告并说明情况这一点内容。
Jordy 解释称, 他担心该漏洞迟早会被其他人发现, 并且他人可以利用这个情况去领取赏金, 所以他才坚持做出报告的决定。这一举动直接导致 PS5 研究社区出现分裂, 两位研究人员在此后的立场上形成针锋相对的局面。
04TheFlow宣布退出PS5开发
TheFlow当时正在努力地推进要让PS5去支持Linux系统这件事, 他心里想着最好把那个漏洞的公开时间往后推一推, 目的是为了能让玩家在GTA6这款游戏发售之后, 仍然可以在主机上面合乎法律规定地去运行Linux。
在那个漏洞被公开并且被人知晓了之后呢, 他就出来声明并宣布说, 他要把关于PS5的开发工作进行退出了。
根据TheFlow这个方面的消息透露出来, 他表示自己也打算把那些个和Linux相关的所有开发项目都给停下来, 连那个原来是计划要在2027年弄出PS5 Pro来支持Linux工作的那个事儿, 也要给停掉, 这下子就让PS5这个地方搞Linux生态的推进事情, 面对着特别大的不确定性。
05漏洞具体内容仍成谜
这次5万美元赏金对应的具体漏洞内容, 相关的报告其实并没有对外公开。外界目前只能确认一点, 就是这个漏洞被索尼方面归类为了严重级别, 但是外界没办法判断这个漏洞, 到底是不是和Jordy此前 reported 的那个Hypervisor漏洞为同一个东西。
Jordy在此之前所牵涉到的那个Hypervisor漏洞争议, 还有眼下这次赏金, 这两桩事情在时间序列上是存在重叠状况的。不过索尼方面与HackerOne方面都没有作出明确说明, 去解释清楚二者之间究竟存在着什么样的关联关系。外界人士目前只能处于被动状态, 去等待后续会有的进一步官方信息披露情况。
06赏金机制背后的安全博弈
索尼这个漏洞赏金计划, 已经运行了差不多六年这么长的时间, 它确实吸引了非常多搞安全研究的人来参加, 从这个Jordan的案例里面, 我们可以清楚地看到这样一个情况, 也就是存在一个核心的矛盾, 研究者他们一方面是很希望能够得到经济上那个奖励, 另一方面呢?
他们也同时在面临着一种压力, 这种压力主要是来自于学术伦理这一块以及社区关系那一边, 两者共同构成了比较大的压力。
如今, 咱们能看到PS5这个Linux生态是渐渐地开始发展了, 在这个背景下, 到底该怎么在安全漏洞及时披露和用户合法权益之间去找到一个平衡点呢? 这是索尼以及咱们整个游戏硬件行业在未来相当长的一段时间里面，都要持续去面对的很重要的课题。
我觉得咱们应该弄明白, 在安全研究者去公开那些漏洞之前, 他们是不是得把社区的共识放在第一位。欢迎大家到评论区里面留言, 大家一起好好地谈谈这个问题, 点赞并且分享, 这样就能支持到更多有深度的报道了。
