È possibile guadagnarsi da vivere (ad esempio $ 75k + un anno) trovando e vendendo vulnerabilità? Non importa (per il gusto di questa domanda) se si tratti di vendere esclusivamente a un programma di bug bug o attraverso un broker.
Grazie.
È possibile ? Certo che è possibile . È anche possibile per te guadagnarti da vivere scoprendo regolarmente nuove e nuove cure per le malattie comuni.
D'altra parte, se ti stai chiedendo se probabilmente che tu possa sopravvivere scoprendo gli exploit uno dopo l'altro, iniziamo con questo: Quanti ne hai scoperti finora? Quanto hai fatto in beneficenza degli insetti che hai scoperto? Quanto tempo e ricerca ti ha portato a scoprire ognuno? A giudicare dal tuo attuale tasso di scoperta e dal tuo reddito fino a quel momento, quanto pensi di fare dedicando i tuoi sforzi a tempo pieno a questo sforzo? Se la risposta a questa domanda è $ 0, allora consiglierei un percorso di carriera alternativo.
Solo tu puoi rispondere a questa domanda. Qual è il tuo track record nell'analisi del software per i difetti? Quanti ne trovi una settimana? Confrontalo con i pagamenti che hai visto, come pwn2own o i programmi di bug bug di Microsoft? In conclusione: se non lo stai già facendo, questa è la tua risposta.
Un'altra cosa da considerare è il rischio: le aziende non sono obbligate a continuare a pagare per i bug, quindi non sarà mai un reddito garantito. E una volta che Chip e PIN si sono diffusi in tutto il mondo, potrebbe rendere inutile rubare i numeri delle carte di credito, vale a dire meno criminali con meno bisogno di 0 giorni, il che significa che i prezzi scenderebbero.
E c'è anche l'etica di vendere 0days al mercato nero - ti metteresti a rischio di arresto. Non importa se pensi che sia legale, se un avvocato di poltrona casuale su stackexchange pensa che sia legale, o se il FEP pensa che sia legale. Qualche politico potrebbe semplicemente decidere di renderlo illegale. Alcuni cybercop potrebbero reinterpretare le leggi per adattarsi alla loro situazione e trascinarti comunque in tribunale. O qualche altro paese potrebbe pensare che sia illegale e richiedere la tua estradizione.