聯合航空以航空里程而非現金支付其首筆航空公司漏洞賞金

聯合航空推出漏洞賞金計畫，獎勵回報公司網站與應用程式漏洞的研究人員；兩個月後，安全研究員 Jordan Wiens 收到第一筆獎勵，共 100 萬航空里程。他提交了該航空公司網站中一個遠端程式碼執行漏洞的詳細資訊，這筆里程便存入他的里程帳戶。

聯合航空是第一家推出漏洞賞金計畫的航空公司，於 2015 年 5 月宣布，此前該公司因禁止一名安全研究員搭乘其航班而受到嚴厲批評。獎金結構很不尋常：多數廠商的賞金計畫支付現金，金額從 500 美元到 250,000 美元不等，但聯合航空只支付航空里程。Wiens 那一百萬英里的現金價值約為 25,000 美元。

里程數依漏洞嚴重程度分級。跨站腳本攻擊可獲 50,000 英里，驗證繞過可獲 250,000 英里，而遠端程式碼執行漏洞——可讓攻擊者遠端執行任意惡意程式碼——則可獲最高獎金。Wiens 此前從未向漏洞賞金計畫提交過報告，他說自己提交了兩個他相當確定屬於遠端程式碼執行的漏洞，但認為它們「很遜」，原本預期能獲得 50,000 英里或更少的獎勵；在確認他是美國公民、且研究是在美國境內完成後，聯合航空請他查看自己的里程帳戶。

以航空公司自行發行的貨幣支付賞金：一百萬英里讀起來約值 25,000 美元，又能登上新聞版面，卻不必從安全預算中支付現金。

這項計畫把敵對關係變成了一條管道：它是在聯合航空因禁止一名研究員搭機而受到批評後隨即宣布的。

里程是聯合航空自行發行的資產，因此一筆約值 25,000 美元、能登上新聞的獎勵不花任何現金——而競爭對手的計畫每個漏洞最高支付 250,000 美元。

以里程為嚴重程度定價——50,000、250,000、遠端程式碼執行可獲最高獎金——讓研究人員有一個公開的兌換率，知道哪些漏洞值得追。

它在第一次接觸就奏效：一名首次提交賞金報告者在計畫推出兩個月內就找到一個遠端程式碼執行漏洞，並獲得該計畫的第一筆獎勵。

賞金的名目價值與支付方的成本不必相符：用你自己發行的資產支付，讓獎勵大到足以引起重視，並讓現金不涉入交易。

Wiens 的一百萬英里獎勵是該計畫的第一筆獎勵，於 2015 年 5 月推出後約兩個月發出。聯合航空要求提交者在付款前確認資格——美國公民身分，且研究在美國境內完成。