【面对漏洞通报，企业与通报者要能互信】今年HITCONZeroDay平台已有14个组织推奖励计划
不只是企业要正面看待漏洞通报，通报者本身也要对漏洞通报有互信的合作态度。在今年12月举办的HITCON Pacific 2018大会现场，HITCON常务理事翁浩正公布Hitcon ZeroDay的年度报告，说明最新台湾漏洞通报趋势，以及今年推动Bug Bounty奖励计划的成果，同时也呼吁，要让漏洞通报能促成正向资安环境发展，企业与通报者的态度都很重要。
关于漏洞通报，过去他们不断提醒企业，要改变观念，朝向正面且公开透明的态度，以增添大众对于企业的信赖，并建立顺畅的通报环境。但通报者本身的观念也很重要，尽管过去资安圈有许多懂得漏洞通报的研究人员，但他也提醒一些新进的人，“在企业信赖你之前，请你先赢得企业的信赖。”
翁浩正表示，曾经有一个小六学生来询问漏洞通报的问题，他表示自身发现了一个漏洞并通报该系统所属的企业，但对方没有回应，因此他想投书给媒体爆料。翁浩正认为，这样的想法并不健康。
因为台湾资安环境正在改变，为了要促使企业尽快修补，同时减少漏洞带来的伤害，因此需要双方来共同努力。
对于通报者而言，其实，自己的每个发言、字句，都代表了你对企业的态度是否友善。举例来说，如果一个通报者对企业抱有敌意、追求名利、且握有漏洞，企业会采取怎样的行动？
当然，我们认为民众对于漏洞通报的观念，也要有一定的认识，不能只是发现漏洞就很激动，想要快速得到对方肯定，而看到有人发现漏洞爆料，也应关心整个漏洞揭露的过程。毕竟，漏洞问题就是会不断发生，如何减少伤害与影响很重要，事实上，很多漏洞揭露都是经过一定的程序，从发现、通报、验证与分类、修复通报到修补，最后再将漏洞向外揭露，让所有资安研究人员能注意到这样的问题存在，或成为借镜。当然，也有严重的漏洞问题，但企业却迟迟不修补的状况，而面对这种刻意回避，不愿面对的公司，促使研究人员会将漏洞在未修补前公开，目的也是要让企业重视。
因此，这需要企业与通报者双方面的配合。而为了让通报环境更友善，市面上也发展出具公信力的企业漏洞通报平台，以及提供奖励计划方式，来促进漏洞通报环境的发展。
今年台湾企业回应且公开漏洞的比例微幅提升，也有企业开始执行奖励计划
为搭起台湾资安专家与企业的桥梁，台湾骇客年会成立了Hitcon ZeroDay企业漏洞通报平台，并且是公益性质，期望促进台湾资安环境往正向发展。简单来说，透过这些通报，将能了解台湾常见的资安漏洞为何？同时也期盼借由民间资安专家的漏洞挖掘能力，可以帮助企业及政府找出未防御的盲点，甚至成为企业求才的一种管道。
目前，Hitcon ZeroDay成立已超过两年，翁浩正也在此次年会上，公布了今年的漏洞通报相关数据。至12月13日为止，HITCON ZeroDay注册的企业账号数达350家，比起去年度的250家，成长4成；使用者数量今年已有1,800人，也比起去年的1,200人，增长5成；通报的企业数量，也从2,000家增加至2,600家。
而从HITCON ZeroDay注册数的时间轴来看，每次于大型场合宣导之下，像是台湾资安大会与HITCON活动举行，也会带动使用者与企业账号的注册数量，有明显的增加。翁浩正也再次说明，这个平台可供企业免费注册，希望更多企业能够加入行列。
至于漏洞通报数量，在2017年到2018年，有3成2的增长，不过好消息是，企业已回应且公开漏洞的比例稍稍提升，从原本的24%，提升至27.3%。无论如何，企业方看待漏洞通报的观念正在慢慢改变，他希望能以每年增加10%为目标。
在漏洞分类比例来看，SQL Injection漏洞、XSS漏洞与资讯泄漏，这些警告多年的问题，依然占据前三名。他也提醒，要注意Shell/RCE漏洞与上传任意档案的漏洞，虽然比例仅占2%与9%，但前者可取得系统的控制权，后者可让恶意使用者上传恶意的程式，必须重视。
另一关注焦点是，HITCON ZeroDay在今年3月开始推动的漏洞奖励计划。翁浩正指出，目前常态性上架的企业，已经有10家企业参与，不过都是以邀请制为主，较特别的是，即便企业没有发布奖励计划，但他们对于独立漏洞也给予奖励，目前已经有50个例子。
而这样的结果，显示台湾已经有企业秉持开放且正向的态度，借由民间通报者之力，不仅是感谢找出漏洞，并愿意给予奖励。
较特别的是，在这次HITCON Pacific 2018大会期间，他们还特别商请4家厂商与单位，包括NAS设备大场群晖、工业技术研究院、台湾电力公司与区块链科技新创Bitmark，提供漏洞悬赏计划（Bug Bounty）的题目。其中，台电这样传统的国营单位最受瞩目，他们现在也能接受漏洞奖励计划的概念，并准备了50万元的总奖金，相当难得。
较可惜的是，原本当日要进行的颁奖活动，由于执行时间太短的关系，但他们仍期望让更多人参与通报，因此计划将这些漏洞奖励计划的期限延长。
另外，翁浩正也提到HITCON ZeroDay平台上的功能改进。例如，近期为了增加企业、通报者双方的沟通效率，强化平台对个人或企业的私讯功能，并有留言讨论，让企业可以公告修复状况，民众也可以针对漏洞进行讨论。特别的是，还增加了漏洞建议资讯，系统将能根据漏洞类型，自动产生像是OWASP Top 10、Mitre的参考资料，帮助企业快速掌握该漏洞的相关资讯。
在HITCON Zeroday漏洞分类比例来看，与年初公布的2017年度数据相比，变化并不算大，SQL Injection漏洞、XSS漏洞与资讯泄漏依旧占据前三。
由于前面提到的10个奖励计划都是邀请制，因此，一般用户在HITCON ZeroDay网站的奖励计划页面上，可能不知道已有公开的奖励计划举办，而随着这次活动，现在该页面上也都揭露这4家厂商与单位提供的奖励计划。
今年HITCON Zeroday平台的功能也不断在优化，例如，现在的每个漏洞通报，都将依据漏洞类别自动提供建议资讯，帮助不熟悉的企业在收到通报时，能同时获得漏洞的相关参考资料。
