„BT Counterpane“ saugumo kompanijos technologijų skyriaus padalinio vadovo Bruce'o Schneierio teigimu, jis nepatenkintas tuo, kad atsirado paskata saugumo tyrimus paversti verslo rinka. Anot B. Schneierio, tai sudaro paskatą blogiems asmenims pradėti ieškoti spragų ir kelti kainas. Dalis kompanijų jau dabar siūlo atlygį už tokio pobūdžio informaciją. Priklausomai nuo spragų pavojingumo, saugumo ekspertai gali tikėtis nuo kelių šimtų iki keleto tūkstančių JAV dolerių užmokesčio. O visai neseniai Šveicarijos kompanija nusprendė įsteigti aukcioną, kuriame jie patys galėtų parduoti informacija apie saugumo spragas.
Tiesa, kol kas programinės įrangos kūrėjai neskuba patys pirkti informacijos apie savo padarytas spragas. Kompanijos nenori skatinti lupikavimo, mat spragas aptikę ekspertai gali pagrasinti neatskleisti informacijos ar netgi parduoti ją kompiuteriniams nusikaltėliams, jei programų autoriai nepadidins atlygio. Juodojoje kompiuterių rinkoje jau seniai pardavinėjama informacija apie „Microsoft Corp.“, „Cisco Systems Inc.“ ir kitų kompanijų programinės įrangos, naudojamos daugelyje interneto sistemų, saugumo spragas. Žinodami apie tokias spragas, įsilaužėliai gali pavogti kompiuterių vartotojų asmeninius duomenis ar įmonių tinkluose įdiegti šnipinėjimo programas.
Saugumo ekspertų teigimu, valstybinės institucijos taip pat yra pirkusios tokią informaciją, siekdamos įsilaužti į kompiuterius valstybinio saugumo tikslais ar norėdamos išaiškinti nusikaltėlius. Buvusio Nacionalinio saugumo agentūros darbuotojo Charlie Millerio teigimu, viena agentūra, kurios jis nepanoro įvardyti, praėjusių metų rugsėjo mėnesį jam yra sumokėjusi 50 tūkst. JAV dolerių.
Norėdama paskatinti tinkamą klaidų paviešinimą, „iDefence“ (šiuo metu „VeriSign Inc.“ dalis) jau prieš penkis metus pradėjo mokėti už saugumo spragų pateikimą. Po trijų metų analogišką programą pradėjo „3Com Corp.“ korporacijos padalinys „Tipping Point“. Abi šios kompanijos superka aptiktas saugumo spragas ir vėliau bendradarbiauja su programų kūrėjais bei vengia paviešinti informacijos apie spragą, iki bus sukurta programinės įrangos pataisa. Ši informacija yra vertinga, nes ji gali padėti saugumo kompanijoms apsaugoti savo klientus iki bus parengta oficiali sistemų pataisa.
Anot „iDefence“ direktoriaus Keno Durhamo, nors tyrinėtojai šia informacija paprastai dalindavosi nemokamai, tačiau natūraliai atsirado rinka, kur tokie duomenys įgijo vertę. Anot jo, žmonės gali greitai pasukti tamsos link, jei jiems nebus pateikta tinkama alternatyva. Anot „Tipping Point“ kompanijos programą prižiūrinčio Terrio Forslofo, nors jie negali mokėti tiek, kiek mokama juodojoje rinkoje, tačiau didžioji dalis teisėta veikla užsiimančių saugumo specialistų sutinka parduoti savo žinias už mažesnį atlygį, žinodami, kad jos bus panaudotos tinkamai.
Naujai įkurto „WabiSabiLabi“ internetinio aukciono autoriai teigimu, jie žada tikrinti parduodančiųjų ir perkančiųjų spragas tapatybes, tačiau daugelis specialistų yra nusiteikę skeptiškai. Anot „Microsoft“ reagavimo į saugumo spragas skyriaus direktoriaus Marko Millerio, kompanija negali žinoti, kas pirks šias spragas, todėl tai gali padidinti vartotojų riziką. „WabiSabiLabi“ direktorius Roberto Preatonis prieštarauja tam, teigdamas, kad nusikaltėliams kompanijos aukcionas nereikalingas, nes jie labiau linkę anonimiškai apsipirkti juodojoje rinkoje. Anot jo, tai yra „eBay Inc.“ aukciono analogas, kuriame visi pirkimo ir pardavimo klausimai sprendžiami tarp pirkėjo ir pardavėjo.
Tiesa, kol kas parduotų spragų skaičius nublanksta prieš programų kūrėjams pateiktų spragų skaičių. Tačiau yra pastebima vis daugiau požymių, kad saugumo spragų rinka auga. Anot dabar „Security Evaluators“ analitiku dirbančio C. Millerio, vis daugiau ekspertų yra nepatenkinti tuo, kad nemokamai dirba kompanijų saugumo ekspertų darbą. Būtent todėl, anot R. Preatoni, jie ir nusprendė įkurti internetinė aukcioną, kuriame saugumo ekspertai galėtų gauti atlygį už savo darbą, kuris šiuo metu yra nuvertintas.
Tačiau nepaisant augimo, anot iš „iDefence“ šimtus JAV dolerių gavusio Matthew Murphy, šie pinigai negali pakeisti normalaus darbo, nors jų pakako studijuojant tėvams nupirkti naują kompiuterį ir susirinkti pinigų išlaidoms. C. Millerio, bandžiusio parduoti keletą spragų, įskaitant ir 50 tūkst. vertės spragą, nupirktą vyriausybės, teigimu kartais atlygis neatperka pastangų. Dažnai yra sunku aptikti potencialius pirkėjus, o kartą spraga buvo ištaisyta anksčiau, nei jis spėjo parduoti šią informaciją. Jo teigimu, saugumo spragų paieška negali būti pelningu verslu. Su tuo susidūrė ir „WabiSabiLabi“ aukciono dalyviai. Norėdami pritraukti klientus, ekspertai turi pakankamai papasakoti apie spragą, tačiau papasakojus per daug, kiti taip pat gali aptikti šią spragą ir informacija neteks savo vertės. R. Pretoni teigia, kad jie patikrina visą informaciją apie spragas, prieš pateikiant jas aukcione.
Dažnai atakuojamų „Windows“ sistemų autorė „Microsoft“ teigia neplanuojanti pradėti mokėti pinigų už pateikiamas spragas. Ji pažymi, kad daugeliui jų pakanka to, kad būtų minima jų pavardė, nes tai gali padėti susirasti darbą. Anot M. Millerio, patys saugumo ekspertai teigia, kad šis „verslo modelis“ veikia neblogai. „eEye Digital Security“ saugumo kompanijos specialisto Marco Maiffreto teigimu, kompanija taip pat nusprendė nemokėti atlygio už pateikiamas saugumo spragas. Anot jo, prekyba informacija apie spragas greitai gali pavirsti kainų karu, kuris skatins žmones nepranešti kompanijoms apie aptiktas problemas.