Blog - LINE ENGINEERING

TAG ARCHIVES: Bug Bounty

2018年 LINE Security Bug Bounty Programと更新について
k2wanko2019-02-18
LINEで脆弱性探してます。
こんにちは、LINEのセキュリティ室でセキュリティエンジニアをしているコキチーズです。この記事ではLINEが運営している、LINE Security Bug Bountyの2018年（1月1日～12月31日）の結果についてご紹介します。 2018年 Bug Bounty Report 2018年下期のBug Bountyを通しての報告は次のような結果でした。報告件数 X軸の数値は第何週かを表しています。認定された報告の合計は88件でした、2017年は45件だったので倍近く増えました。2017年は途中で審査対象の拡大をしたということもありましたが、プログラムの認知が広まり、複数の報告をしてくれるユーザーもいます。営業日換算で言えば、毎日1件以上の報告が来ていて、毎週1件以上の認定がされています。脆弱性の種類別には次のようになっています。 Hall of Fameとして認定された中で1番多いのはOtherで15件で、次いで多いのがXSSでした。Otherはユーザーが自力で回復不能なクライアント上のDoSや複合的な問題などカテゴライズにはないけどインパクトの大きい問題に対して認定
- Security
- Bug Bounty
2018年上半期LINE Security Bug Bounty Programの結果について
MJ2018-07-26
LINEでセキュリティに関する業務を担当しています。
こんにちは。LINEでセキュリティに関する業務を担当しているMJです。今回の記事では、2018年上半期（1月1日～6月30日）の「LINE Security Bug Bounty Program」を振り返り、皆さんにご紹介していきたいと思います。このプログラムは、LINEが提供するサービスにおいて潜在的に存在する脆弱性を外部のエンジニアの方々からご報告を頂き、我々が迅速に修正していくことで皆様により安全なサービスを提供することを目的としています。受付状況脆弱性報告フォームからの受付状況は以下のとおりです。日付/脆弱性別の受付状況 2018年の上半期（1月1日から6月30日まで）では、148件の報告を受付いたしました。以下の【図1】は、日別(週別)の受付件数、受付脆弱性名の割合をグラフで表現したものです。 2017年の上半期（96件）と比べると受付件数は、およそ64%が増加しました。【図1】日別(週別)受付件数、受付した脆弱性名の割合国別アクセス今回受け付けた148件のうち、日本国内からは35件、海外からは113件の報告がありました。以下【図2】は2018年の上半
- Bug Bounty
「Bug Bounty」をテーマとしたSecurity Meetupを開催しました！
k2wanko2018-05-23
LINEで脆弱性探してます。
こんにちは、LINEのセキュリティ室でセキュリティエンジニアをしているコキチーズです。LINEでは、社内のエンジニアであれば誰でも技術イベントの企画や、勉強会での登壇が可能です。またそういったエンジニアの対外的な活動を支援してくれる専門のチームが社内に存在します。それを利用して「Bug Bounty」をテーマとした勉強会「Meetup in Tokyo #34 - Security Bug Bounty -」を開催しました。セキュリティの勉強会を主催するのは初めてで不安でしたが、結果的に大勢の方にお越しいただきました。皆様ありがとうございます。 Bug Bountyとは製品やサービスの脆弱性を報告し、それに対して報奨金の支払いを行うプログラムです。LINEでもLINE Security Bug Bounty ProgramとしてBug Bountyを行っており、私は運営に携わっています。 LINE Security Bug Bounty Programについて今回は主催だけではなく、登壇者として「LINE Security Bug Bounty Program について」という内
[LINE x SECCON 2017] LINE Security Bug Bounty Program キャンペーンのお知らせ
Teppei Miki2018-04-02
Developer Relations Team, LINE Corporation.
Developer Relations チームの三木です。 LINEでは、コミュニケーションアプリ「LINE」および一部関連サービスに存在する脆弱性を早期に発見し、ユーザーにより安全なサービスを提供することを目的として、「LINE Security Bug Bounty Program」を実施しています。該当サービスの安全性向上に繋がると判断した脆弱性の報告を対象に、報奨金を提供しています。 LINEがスポンサーを務めさせて頂いた、日本国内最大のセキュリティコンテストSECCON2017決勝大会（2月17日、東京電機大学）では、セキュリティ室の久保田量大(@k2wanko)が登壇し、LINE Security Bug Bounty Programの概要やその経緯、具体的な脆弱性の報告事例、皆様に報告頂くにあたってのTipsなどを紹介いたしました。またその発表の中で、キャンペーン「LINE x SECCON 2017 LINE Security Bug Bounty Program」の開始について、触れさせて頂きました。告知開始から時間が経過しておりますが、本Engineerin
- Security
- Bug Bounty
2017年LINE Security Bug Bounty Programの結果について
MJ2018-02-13
LINEでセキュリティに関する業務を担当しています。
こんにちは。LINEでセキュリティに関する業務を担当しているMJです。今回の記事では、2017年（1月1日〜12月31日）の「LINE Security Bug Bounty Program」を振り返り、皆さんにご紹介していきたいと思います。このプログラムは、LINEが提供するサービスにおいて潜在的に存在する脆弱性を外部のエンジニアの方々からご報告を頂き、我々が迅速に修正していくことで皆様により安全なサービスを提供することを目的としています。プログラム対象拡大や寄付制度について前回の記事でも紹介しましたが、2017年は、プログラムの対象を拡大し、より多くの報告を受付けることが出来ました。（受付状況をご覧ください。）また、2017年の11月には報奨金の寄付オプションを開始し、報奨金支払いの対象者が寄付を行うことも可能になりました。プログラムの拡大や報奨金の寄付オプションについては、以下のURLを参考にしてください。プログラムの拡大：https://linecorp.com/ja/pr/news/ja/2017/1712 報奨金の寄付オプション：https://linecorp
- Security
- Bug Bounty
2017年上半期LINE Security Bug Bounty Programの結果について
MJ2017-08-01
LINEでセキュリティに関する業務を担当しています。
プログラム対象拡大についてこんにちは。LINEでセキュリティに関する業務を担当しているMJです。今回の記事では、2017年上半期（1月1日～6月30日）の「LINE Security Bug Bounty Program」を振り返り、皆さんにご紹介していきたいと思います。このプログラムは、LINEが提供するサービスにおいて潜在的に存在する脆弱性を外部のセキュリティリサーチャーからご報告を頂き、我々が迅速に修正していくことで皆様により安全なサービスを提供することを目的としています。また「LINE Security Bug Bounty Program」として常時運営を開始（2016年6月2日）して以降、LINEサービスの成長に伴い4月10日よりプログラムの対象を拡大しました。（新たにコミュニケーションアプリ「LINE」のChrome版・Windows 10 Mobile版と、LINE STORE・LINE NEWS・LINE MUSIC・LINE LIVEの各Webサイトを追加いたしました） https://linecorp.com/ja/pr/news/ja/2017/1712
- Security
- Bug Bounty
2016年LINE Security Bug Bounty Programの結果について
MJ2017-01-25
LINEでセキュリティに関する業務を担当しています。
常時運営化についてこんにちは。LINEでセキュリティに関する業務を担当しているMJです。今回の記事では、2016年の「LINE Security Bug Bounty Program」を振り返り、皆さんにご紹介していきたいと思います。このプログラムは、サービスに潜在的に存在する脆弱性を外部のエンジニアの方々からご報告を頂き、我々が迅速に修正していくことで、皆様により安全なサービスを提供することを目的としています。まず、2015年に8月24日～9月23日の期間限定で試験的に実施し、そして、(1)プログラム内容の改善　(2)リスクの継続的な管理を目指して、プログラムの利用規約、報告フォーム、報告内容の判定基準、さらに常時運営を前提とした運営体制等のあらゆる側面の改善を準備し、2016年6月2日より「LINE Security Bug Bounty Program」として新たに運営をすることとなりました。 LINE Security Bug Bountyのトップページ : https://bugbounty.linecorp.com/ 脆弱性報告フォーム : https://bug
- Security
- Bug Bounty
LINE Bug Bountyの結果と総括
MJ2015-12-16
LINEでセキュリティに関する業務を担当しています。
はじめにこんにちは。LINEでセキュリティに関する業務を担当しているMJです。以前こちらの記事で、LINE初の試みである「LINE Bug Bounty Program」について紹介いたしましたが、今回、改めて内容を振り返りながら、その結果について書かせていただこうと思います。 LINE Bug Bountyは、8月24日から9月23日までの約1ヶ月間で行われ、その期間に発見した脆弱性を報告してくださった方には、最高で1件20,000米ドル(約240万円)をお支払いするというプログラムです。このような制度は国内ではまだ実施例が少なく、あまり馴染みがないかもしれません。しかし、LINEではユーザーの皆様により安全なサービスを提供したいと考えており、そのための取り組み、制度のひとつとして、今回のBug Bounty Programを実施しました。本プログラムは我々にとっても初めての試みでありまったくの未知数だったのですが、結果的に194件の報告を受け、XSS、CSRFなど計14件をクリティカルな脆弱性として対応させていただきました。また報告件数の半分以上は日本国外からのものであり、海外
- Security Engineering
- Bug Bounty
LINE Bug Bountyを公開いたしました
MJ2015-08-04
LINEでセキュリティに関する業務を担当しています。
こんにちは。LINEでセキュリティを担当しているMJです。今回の記事では、LINEのBug Bountyプログラムについてご紹介させていただきます。 Bug Bountyとは Bug Bountyとは、自社の製品やサービスのキュリティ上の脆弱性を発見した人に報奨金を支払うプログラムで、グローバル企業では製品・サービスのセキュリティ強化策として積極的に取り入れられています。実際、多数の企業がこのプログラムを活用して自社のサービスの品質改善とセキュリティ向上を図り、セキュリティ問題を解決しています。 LINEは、毎月の実ユーザー数が2億人以上に達するグローバル企業に成長しました。この成長過程で、数多くのアプリケーションと増えたユーザーをセキュリティーの脅威から保護することが求められるようになりました。そのため、LINEはBug Bountyプログラムを実施することで、より安心・安全なサービスの提供を目指してまいります。 Bug Bountyプログラムの最大の目標は、自社の製品・サービスの脆弱性をできるだけ早期に見つけて安心できるサービスを提供し、ユーザーを保護することにあります。ハッキング
- Security
- Bug Bounty

1