#статьи
- 21 май 2021
-
15
Этичный хакинг: как заработать на чужих ошибках и не угодить под статью
Четыре багхантера рассказали о конфликтах с компаниями, крупнейших наградах и своей мотивации.
Обозреватель Skillbox Media. Пишет про бизнес, интернет-маркетинг и управление.
Багхантеры, или, как они сами себя называют, этичные хакеры, — это специалисты, которые ищут уязвимости интернет-сервисов и ПО за вознаграждение. Они участвуют в программах Bug Bounty на специальных платформах, где зарегистрированы компании, и помогают разработчикам найти ошибки в их продуктах. Компании получают от таких программ хорошо задокументированные отчёты об имеющихся проблемах, а хакеры — деньги или иные бонусы за работу.
IT-гиганты готовы тратить на услуги багхантеров крупные суммы — в 2020 году на одной только платформе HackerOne участникам программ Bug Bounty были выплачены награды на сумму свыше 40 млн долларов (почти 3 млрд рублей).
Несколько этичных хакеров рассказали нам о том, как можно зарабатывать на поиске уязвимостей и с какими проблемами они сталкиваются в своей работе.
- Специалист по информационной безопасности Сергей Вакулин о конфликте с крупным онлайн-ретейлером
- Этичный хакер Web Security о нежелании крупного производителя пылесосов выплачивать вознаграждение
- Багхантер Null Null о том, как он получил 10 тысяч долларов от GitHub
- Slava, багхантер — Робин Гуд, о том, почему он не берёт денег за свою работу и как найденная уязвимость может обернуться уголовным делом
специалист по компьютерной и информационной безопасности
Я начал искать баги на сайтах ещё во время учёбы в университете. Это был просто интерес — хотелось узнать что-то новое и попрактиковаться, помочь сделать интернет более безопасным. А потом я понял, что моё занятие может ещё и приносить деньги.
Я тогда не знал о специальных платформах вроде HackerOne, а просто открывал рейтинг сайтов на Rambler или Mail.ru и искал уязвимости. Если что-то находил, то сообщал об этом разработчикам и пытался договориться с ними о вознаграждении. Одни считали меня вымогателем, а другие платили — но суммы были небольшими.
В 2018 году я увидел программу Bug Bounty «ВКонтакте» и обнаружил у соцсети две уязвимости. Одна из них была связана с импортом телефонных номеров. С помощью этого бага я нашёл реальные контактные данные блогеров Николая Соболева, Совергона и Ксюши Плюшевой.
Вторая уязвимость позволяла восстанавливать стёртую переписку. Если бы её не исправили, злоумышленники смогли бы похищать у взломанных пользователей содержимое удалённых сообщений — например, снимки паспортов или интимные фотографии. За найденные ошибки «ВКонтакте» должна была заплатить 100 долларов, но я получил 500. Неожиданно и приятно.
Но не со всеми компаниями взаимодействие проходит так гладко — к примеру, недавно у меня произошёл конфликт с одним крупным онлайн-ретейлером. В феврале 2021 года я нашёл на их сайте две XSS-уязвимости хранимого типа. Уровень критичности этих ошибок был высоким — они позволяли получить cookie, где хранились логины и пароли пользователей, а также данные о привязанных банковских картах. Проще говоря, можно было зайти в чужой аккаунт и заказывать товары.
Ретейлер разместил на своём сайте информацию о вознаграждениях. За найденные важные уязвимости я должен был получить от 15 до 50 тысяч рублей. Я попытался сообщить компании о багах, но электронная почта для Bug Bounty не работала: мне возвращался ответ от системы — такого ящика не существует. Тогда я позвонил в техподдержку.
В начале апреля мне пришёл ответ, что ретейлер готов заплатить за обнаруженные уязвимости только две тысячи рублей. По утверждению разработчиков, оба бага не представляли из себя опасности, поскольку в cookie не хранились учётные сведения. Я перепроверил всё и убедился, что одна уязвимость, связанная с авторизацией, исчезла. Они исправили ошибку, а мне сказали, что её и вовсе не было.
Позже компания выслала договор, в котором было указано, что я должен работать на них на протяжении двух месяцев за две тысячи рублей. Также в документе содержался бессрочный запрет на разглашение информации о найденных уязвимостях, хотя это противоречит общим положениям Bug Bounty, позволяющим раскрывать подробности об ошибке спустя 60 дней после обращения к разработчикам. Я не стал подписывать этот договор, и они мне ничего не заплатили.
По словам директора технического департамента RTM Group Фёдора Музалевского, чтобы не попасть в подобную ситуацию, этичным хакерам надо лучше проверять условия договора ещё до начала поиска уязвимостей.
«Не все компании, которые заявляют выплаты, делают это честно. Поэтому лучше фиксировать всё: предлагаемую сумму вознаграждений, найденную уязвимость», — объяснил он Skillbox Media.
А вот что касается публикации информации об уязвимости и её возможной эксплуатации, Музалевский заявил, что действия хакера могут подпадать под статью 273 УК РФ. При этом недобросовестное поведение компании не будет иметь значения. Юрист также отметил, что если со своей стороны хакер выполнил все условия разработчиков, то вполне может потребовать вознаграждение через суд, так как многие программы Bug Bounty являются публичной офертой.
завершил карьеру багхантера после конфликта с производителем пылесосов
Я стал багхантером около двух лет назад. У меня нет технического образования, но я могу писать несложный код на Python. Меня приглашают в закрытые программы Bug Bounty, куда можно попасть за очки репутации и успешные «репорты». Я выбираю компании, которые быстро рассматривают отчёты и у которых большой размер вознаграждения. Иногда на поиск ошибки может уйти день, иногда — две недели.
Раньше поиск уязвимостей был основным заработком, но после конфликта с известным британским производителем пылесосов я решил переключиться на другие направления. Их программа Bug Bounty привлекла меня своими условиями: уязвимости можно было искать не только на предопределённых доменах, но и в их поддоменах. Для багхантера чем больше периметр атаки, тем лучше.
Спустя какое-то время мне пришло уведомление, что моя атака сработала в админ-панели сайта, который занимается цифровым самообслуживанием и помогает компаниям настраивать голосового помощника. Я обнаружил Blind-XSS-уязвимость на странице возврата товара, которая позволяла получить персональные данные клиентов компании. После изучения сайта стало понятно, что их партнёром является тот самый производитель.
По-хорошему, я должен был добыть cookie, и это стало бы доказательством наличия уязвимости. Но на тот момент ни того, ни другого не было — имелись только IP компьютера, на котором сработала XSS, User-Agent и данные о причастности известной компании к сайту.
Я сразу отправил отчёт о находке и рассчитывал на вознаграждение в размере 1000 долларов — именно такая сумма полагалась за обнаружение ошибки с высоким уровнем критичности. Моё обращение рассматривал HackerOne staff (h1 staff. — Прим. ред.) — это люди, которые отсеивают совсем несерьёзные заявки, чтобы разгрузить сотрудников компании. Стопроцентных доказательств наличия уязвимости у меня не было, и я понимал, что h1 staff закроет мой отчёт. Поэтому заранее запросил медиацию, чтобы оповещение пришло британскому производителю в обход h1 staff и разработчики вручную проверили баг на валидность. Но ответа от них я не получил.
Позже мой отчёт и вовсе отклонили. Тогда я решил, что найденная уязвимость не представляет опасности, опубликовал информацию о баге в своём блоге на Medium и уведомил об этом компанию.
У меня логика простая: если баг валидный, то принимайте и платите, я без разрешения не буду его раскрывать. А если нет, то закрывайте заявку, и я опубликую результат своей умственной деятельности.
Мне пришло извещение с предупреждением от HackerOne — площадка встала на сторону производителя. Чтобы его опротестовать, я повторно проверил сайт на наличие Blind-XSS, и уязвимость подтвердилась. У меня получилось добыть cookie и HTML-код админ-панели, в котором хранились адреса, мобильные телефоны, email-адреса клиентов и информация о купленных товарах.
Позже я опубликовал видеодоказательство на своём YouTube-канале, на который сразу посыпались жалобы от компании. Канал не пострадал, а вот блог на Medium забанили.
Если вознаграждение за найденную уязвимость существенное, хакер может привлечь нотариуса к осмотру исходного кода страницы. Правда, стоимость такой услуги составит от 10 тысяч рублей, рассказал Skillbox Media партнёр юридической фирмы «Афонин, Божор и партнёры» Михаил Божор.
«Если у хакера есть надлежащим образом оформленный договор с заказчиком и соблюдены все условия, то при взыскании задолженности через суд заказчик уже не сможет ссылаться на то, что уязвимости якобы не было», — отметил юрист.
Четыре месяца боролся с компанией и проиграл
Я занимаюсь поиском уязвимостей около трёх лет. По образованию я специалист по информационной безопасности, но это никак не помогает в Bug Bounty. У меня, например, есть знакомый терапевт, который устал работать по профессии и понемногу вливается в сферу этичного хакинга.
Однажды я получил от GitHub 10 тысяч долларов. На сайте был баг, который позволял заходить под любой учётной записью и удалённо исполнять код. Позже я сообразил, что мог получить доступ к серверам GitHub и их компьютерам, тем самым увеличив сумму вознаграждения до 30 тысяч долларов, но разработчики к этому моменту уже исправили ошибку.
Какое-то время назад я нашёл уязвимость среднего уровня на сайте Dyson и сообщил об этом компании. Мне ответили, что мой отчёт уже дублирует ранее зарегистрированную заявку, которая имеет статус «решено». Такие отчёты считаются закрытыми, а описываемая в них уязвимость — исправленной. Я проверил ещё раз и вновь смог воспроизвести баг. То есть либо компания не исправила уязвимость и поставила статус «решено» предыдущему отчёту, либо я нашёл другую ошибку и Dyson просто не захотела платить мне деньги.
Я четыре месяца пытался доказать, что они не правы, и обратился в поддержку HackerOne. Однако платформа встала на сторону компании и спор закончился не в мою пользу.
Робин Гуд в хакерском мире
Я ищу баги уже более 10 лет, но принципиально не участвую в программах Bug Bounty. Не то чтобы я не нуждался в деньгах, просто приоритеты изменились.
Если предположить, что в среднем за один найденный критичный баг платят больше 1 000 долларов, то за это время я бы мог заработать уже около 100–250 тысяч долларов. Но этичный хакинг — это не так просто, как кому-то может показаться. Мало обнаружить уязвимость, её ещё надо распознать и доказать.
У меня привычка изучать код, это стало моим образом жизни. Если я обнаруживаю ошибку на сайте, то просто пишу о своей находке разработчикам. Мне достаточно, чтобы баг исправили.
В 2020 году я нашёл у «Тинькофф-Банка» уязвимость в алгоритме, который использовался для генерации СМС-кодов при верификации операций. Коды состояли из шести цифр, и у меня получилось написать скрипт для их предсказания. Теоретически баг позволял оплачивать покупки в магазинах по одному только номеру банковской карты. Я написал об обнаруженной ошибке в банк. Мне ничего не ответили, но через несколько недель СМС-коды сократились до четырёх цифр — баг исправили.
Заниматься поиском уязвимостей неопасно, если не быть наглым и соблюдать простейшие правила. Самая распространённая ошибка багхантеров, которые ищут баги не на специальной платформе, — запрашивать вознаграждение при заявлении о найденной ошибке. В ответ они, как правило, получают сообщение, что в случае эксплуатации уязвимости компания обратится в полицию.
Для некоторых поиск ошибок на сайте это как удовлетворение собственного любопытства. В начале 2021 этого года был случай с РЖД: хакер под ником LMonoceros опубликовал на «Хабре» статью о «дырах» в сервисах компании. Эксплуатируя найденную уязвимость, он попал во внутреннюю сеть РЖД и получил доступ к камерам видеонаблюдения на вокзалах, перронах и в офисах. Сотрудники компании связались с хакером и исправили ошибку.
Но не все подобные случаи заканчиваются для хакеров хорошо. Иногда поиск уязвимостей на сайте приводит к уголовному делу. В 2009 году городской суд Санкт-Петербурга вынес студенту экономического факультета СПбГУ приговор за взлом факультетского сайта, который произошёл в 2006 году. Суть взлома заключалась в замене главной страницы ресурса на другую — это называется deface.
Разработчикам указали на уязвимость, но вместо того, чтобы поправить ошибку, они просто вернули сайту прежний вид. На следующий день хакер снова заменил главную страницу ресурса. В итоге через три года после инцидента студент получил два года условно и штраф 20 тысяч рублей, а оборудование, с которого был осуществлён взлом, конфисковали.
Как рассказала Skillbox Media адвокат бюро «S&K Вертикаль» Александра Стриманова, ответственность хакера в каждом отдельном случае зависит от конкретных действий, которые он совершил.
«Если бы IT-специалисты имели безусловную возможность требовать выплату вознаграждения за найденную уязвимость, то, очевидно, они могли бы наживаться на этом. А владельцы сайтов в буквальном смысле подверглись бы атаке со стороны хакеров, которые жаждут наживы», — отметила она.
По словам адвоката, хакер может избежать разбирательства в суде, если он обнаружил уязвимость случайно и сразу рассказал об этом владельцу сайта, не требуя денег и не раскрывая информацию о баге третьим лицам. В таком случае какая-либо ответственность законом не предусмотрена.
Научитесь: Профессия Бизнес-аналитик
Узнать больше
Время на прочтение
7 мин
Количество просмотров 14K
Создатель Ruby on Rails Давид Хейнемейер Ханссон (David Heinemeier Hansson) однажды написал статью под заголовком «В программах встречаются баги. Это нормально». За всю историю работы человека с ПО (и не только с ним) баги были неизбежным и порой дорогостоящим спутником новых и интересных решений.
В прошлом году только сбои программного обеспечения, зафиксированные в отчете Software Fail Watch, обошлись компаниям по всему миру в $1,7 трлн. Такие потери побуждают бизнес наращивать расходы на тестирование ПО. Компании нанимают штатных тестировщиков и все больше денег вкладывают в автоматизированные системы.
Есть и еще одно направление, на которое компании также не жалеют денег, — программы Bug Bounty. Крупные технологические корпорации — Apple, Facebook, Google — и даже правительственные организации выплачивают вознаграждения «белым хакерам» за поиск уязвимостей в ПО. Разберемся в истории этого явления.
/ Wikimedia / Alexandre Dulaunoy / CC
Краткая история Bug Bounty
Идея поиска уязвимостей в системах безопасности появилась задолго до написания первых программ. В XIX веке английская компания, разрабатывающая дверные замки, предлагала 200 золотых гиней (около $20 тыс. по нынешнему курсу) за взлом одного из своих товаров. Тогда американский изобретатель Альфред Чарльз Хоббс (Alfred Charles Hobbs) принял вызов и справился с задачей за 25 минут, получив награду.
Прошло более 100 лет, и вопросы безопасности, которые решают компании, переместились в цифровое пространство. Программные уязвимости, которыми могут воспользоваться недоброжелатели, стали для бизнеса не меньшей проблемой, чем ненадежные дверные замки.
Предположительно, первой программой поощрения за поиск уязвимостей в ИТ стало объявление от Hunter & Ready, датируемое 1983 годом. Компания разрабатывала операционную систему реального времени VRTX и предлагала в качестве награды за найденный в ней баг Volkswagen Beetle («Жук»). Однако победитель мог забрать свой приз и деньгами — давали тысячу долларов.
/ Flickr / Greg Gjerdingen / CC
К середине 90-х в мире уже произошло несколько крупных хакерских атак и начала формироваться современная индустрия ИТ-безопасности. Тогда же набирали популярность первые веб-браузеры — в этой нише шло противостояние между продуктами Netscape и Microsoft. 1995-й был особенно успешным для первой — компания, пользуясь своим лидирующим положением на рынке, удачно провела IPO. В том же году инженер технической поддержки Netscape Джарретт Ридлинхафер (Jarrett Ridlinghafer), обнаружил, что многие пользователи-энтузиасты самостоятельно искали баги в браузере и выкладывали для них фиксы в сеть. Поэтому Джарретт предложил руководству поощрить подобную деятельность и начать выплачивать денежные вознаграждения.
И 10 октября 1995 года Netscape запустили первую программу Bug Bounty. Они платили пользователям бета-версии браузера Netscape Navigator 2.0, которые находили в нем уязвимости и сообщали об этом компании. По некоторым данным, Ридлинхаферу выделили первоначальный бюджет в $50 тыс. Наградами для участников программы служили не только деньги, но и товары из магазина Netscape.
Первым последователем Netscape в привлечении пользователей к поиску багов стала компания iDefense, занимающаяся вопросами безопасности. В 2002 году она запустила свою программу Bug Bounty. Сумма вознаграждения варьировалась в зависимости от типа уязвимости, объема предоставленной информации о ней и согласия пользователя не разглашать сведения о баге в будущем. Заработать на одном баге таким образом можно было до $500.
В 2004 году сообщество Mozilla, которое сформировали выходцы из Netscape, тоже запустило программу Bug Bounty для браузера Firefox. Ее профинансировали известный предприниматель Марк Шаттлворт (Mark Shuttleworth) и компания-разработчик ПО Linspire. За найденные критические уязвимости участники могли получить до $500. И эта программа действует до сих пор, однако максимальное вознаграждение за годы выросло в 10 раз. За 14 лет ее участникам было выплачено около $3 млн.
В один год с Mozilla на рынке ИТ-безопасности появилась программа Zero Day Initiative (ZDI), которая работает до сих пор. Её создатели выступили посредником между сообществом «белых хакеров» и компаниями, которым нужно найти баги в своем ПО. Три года спустя ZDI профинансировали конкурс PWN2OWN. Тогда хакерам нужно было попытаться взломать два ноутбука MacBook Pro, так как система OS X считалась более безопасной, чем продукты конкурентов. В ZDI согласились приобрести все обнаруженные уязвимости в Mac OS X по единой цене — $10 тыс.
Кстати, компания Apple на тот момент не имела своей программы по поиску багов. Она отказывалась идти на это почти 10 лет. Apple запустила Bug Bounty только в 2016 году и стала одной из последних крупных технологических корпораций, предложивших вознаграждение за поиск багов. Зато сумма поощрения оказалась одной из самых высоких на рынке — она доходит до $200 тыс.
Bug Bounty сегодня
Другие крупные технологические компании стали запускать свои инициативы поощрения «белых хакеров» в начале 2010-х. С 2010-го по 2017-й Google «раздала» участникам Bug Bounty $3 млн — большая часть средств была выплачена за эксплойты в Chrome и Android. Facebook в период с 2011 по 2016 год выплатила $5 млн. Аналогичные инициативы имеют Microsoft, GitHub, Uber, Sony и другие. Этот список продолжает пополняться, например, в этом месяце компания Valve анонсировала, что тоже будет платить за найденные уязвимости.
«Белые хакеры» сегодня, по данным платформы для поиска багов HackerOne, зарабатывают почти вдвое больше своих коллег-разработчиков ПО. Хотя для многих охотников за уязвимостями эта деятельность — хобби, 12% из них получают $20 тыс. в год, а 3% — больше $100 тыс. На их выбор представлены программы от самых разных организаций: от уже перечисленных Microsoft и Apple до MIT и Пентагона. В основном компании расплачиваются деньгами, но некоторые — бартером, например, United Airlines награждает ИБ-исследователей милями.
Поиск уязвимостей перестал быть «чисто программным». После найденных уязвимостей в Tesla Model S в 2015 году компания Илона Маска увеличила вознаграждение за аппаратные баги. Microsoft на тот же шаг толкнула недавняя ситуация с процессорными уязвимостями Meltdown и Spectre. Корпорация готова платить большие, по меркам этой индустрии, деньги за найденные баги — $250 тыс. Intel также ищет помощи у охотников за багами.
При этом распространенность и доступность хакерских программ сформировала отдельное направление — Bug Bounty как услуга. Компании могут обратиться на специализированные платформы вроде уже упомянутой HackerOne, а также Bugcrowd, Synack и Cobalt. Эти платформы объединяют хакеров и направляют их усилия на санкционированную атаку чьего-то сайта, приложения, сервиса в обмен на вознаграждение. Только HackerOne за 5 лет существования смогла обеспечить своих участников $20 млн.
Проблемы и победы Bug Bounty
Опыт рынка безопасности говорит, что Bug Bounty помогают компаниям экономить время и средства при поиске уязвимостей. В прошлом году команда корпоративного мессенджера Slack подвела итоги своей трехлетней работы с хакерами. Она рассказала, что за это время было выплачено $210 тыс. тем участникам, которые помогли сделать Slack более безопасным.
При этом показательным был один момент — за месяц до публикации отчёта компании один из ИБ-исследователей выложил в сеть информацию о найденном им баге в мессенджере. Специалисты отреагировали на сообщение об уязвимости через 33 минуты, а уже через 5 часов избавились от бага. Участник программы получил за свою находку $3 тыс.
Другой пример — Министерство обороны США. HackerOne устраивает для него тесты на уязвимость, во время которых обнаруживаются сотни багов. По словам бывшего министра обороны Эштона Картера (Ash Carter), такая работа обошлась бы более чем в $1 млн, если бы Министерство полагалось на свои силы. За найденные баги в итоге заплатили $300 тыс.
Однако на сегодняшний день обстановка с программами Bug Bounty не такая радужная, как может показаться на первый взгляд. В индустрии случаются конфликты, связанные с правовыми вопросами «белого хакинга». В 2015 году эксперт по безопасности компании Synack Уэсли Вайнберг (Wesley Weinberg) обнаружил уязвимость, с помощью которой он получил доступ к огромному количеству данных Instagram: исходным кодам, SSL-сертификатам и приватным ключам, изображениям, загруженным пользователями, и др. Пользуясь этой уязвимостью, можно было выдавать себя за любого пользователя или сотрудника сервиса.
Уэсли сообщил о своей находке в Facebook, владеющей Instagram, рассчитывая на вознаграждение. Но представители компании сказали, что Вайнберг вышел за рамки, то есть получил доступ к личным данным сотрудников компании и пользователей сервиса. А это нарушает правила Bug Bounty компании.
За свою находку Вайнберг был исключен из программы, а его босс — Джей Каплан (Jay Kaplan), CEO Synack, — получил звонок от Алекса Стэймоса (Alex Stamos), сотрудника по вопросам информационной безопасности FB, который пригрозил обращением в полицию, если сведения об уязвимости будут опубликованы.
Этот инцидент поднимает вопросы баланса, этичности и контроля за работой «белых хакеров». С одной стороны компании хотят решить свои проблемы с безопасностью, но с другой им важно уберечь конфиденциальные сведения пользователей и сотрудников, не давая ИТ-исследователям «заходить слишком далеко». Сейчас в США утверждают законопроект, который позволяет Министерству национальной безопасности США запустить свою программу Bug Bounty. Возможно, он установит общие юридические рамки для всего рынка.
Будущее Bug Bounty
В 2017 году у 94% крупнейших публичных компаний из Forbes 2000 не было каналов для получения отчетов об уязвимостях. Однако те компании, которые все же имеют программы Bug Bounty, регулярно увеличивают выплаты участникам. При этом отдельные платформы привлекают средства от инвесторов. Это может говорить о том, что рынок расширяется, и у него есть потенциал для роста.
/ Flickr / Gordon / CC
Есть предпосылки и к автоматизации работы исследователей. Gartner прогнозирует, что к 2020 году 10% тестов на проникновение будут проводиться с помощью алгоритмов машинного обучения (по сравнению с 0% в 2016). Эту тенденцию подтверждают инвестиции в сферу автоматизированных bug hunting-систем. В прошлом году в Microsoft представили платформу, которая с помощью искусственного интеллекта выявляет уязвимости и сообщает о них разработчикам. У Ubisoft есть похожее решение для поиска багов в играх.
Это согласуется с тем, что все больше компаний внедряют решения на основе ИИ в корпоративные системы безопасности. Такой подход позволяет сочетать преимущества программ Bug Bounty с конфиденциальностью — чем меньше на процесс влияет человеческий фактор, тем ниже вероятность утечки информации. Поэтому в будущем, возможно, произойдет перераспределение финансирования между живыми и виртуальными «охотниками за багами».
Несколько материалов из нашего корпоративного блога:
- Meltdown и Spectre: новогодняя процессорная уязвимость
- Все что нужно знать о принципах сетевого нейтралитета
- Как обеспечивается безопасность данных в облаке
- Что такое SSL-сертификат и зачем его покупать?
Миллион рублей за баг. Как зарабатывают на чужих ошибках
—
Сегодня мы узнали, что россиянин Андрей Леонов получил от Facebook рекордный гонорар за нахождение ошибки ($ 40 000), позволявшей взломать социальную сеть. Специалист по кибербезопасности рассказал «360» о том, что он был в курсе программы поощрения Facebook, которая открыта с 2011 года. Он заинтересовался вопросами информационной безопасности в 2007 году, а в конце 2013, когда информационная безопасность и программы поощрения исследователей стали входить в моду, стал в них участвовать.
«Да, я находил серьезные уязвимости в разных сервисах и раньше. Но подавляющее их большинство — это закрытые программы», о подробностях специалист распространяться не стал.
Подобные случаи щедрости со стороны компаний отнюдь не редкость — хакеры очень часто помогают крупным сайтам не понести убыток от реальных кибератак. Краудсекьюрити сейчас в тренде среди компаний даже с самыми надежными системами защиты. В доказательство приводим крупные сервисы, предлагающие заработать виртуальным взломщикам «из народа», и комментарии экспертов.
Одноклассники
В 2013 году социальная сеть «ОК» запустила своеобразный конкурс по поиску багов под названием «Нация тестирует». Первые три человека, обнаружившие недочеты в системе, получили 500$. Для конкурсантов был задан критерий «серьезности» для ошибки программиста:
«К рассмотрению принимаются уязвимости, то есть недостатки в системе, используя которые, можно нарушить ее целостность и вызвать неправильную работу сайта. Уязвимость может быть результатом ошибок программирования, недостатков, допущенных при проектировании системы сайта, ненадежных паролей, вирусов и других вредоносных программ, скриптовых, а также SQL-инъекций, позволяющих украсть пользовательскую сессию, загрузить контент (фото, видео и т. д.), не имея на это права …»
Компания как будто спрятала баги по сайту в виде пасхальных яиц и решила похвалить самого находчивого хакера, который их отыщет. На самом деле этот конкурс не что иное, как озабоченность тем, что собственные программисты не справляются и берут за работу слишком много. Краудсекьюрити в действии.
Как говорится, скупой платит дважды: с июля 2015 социальная сеть возобновила предложение. С этого момента любой желающий может доложить администрации о найденных уязвимостях и получить от $100.
ВКонтакте
Подобная практика, правда менее официальная, существует и «ВКонтакте»: молодые хакеры Артем Дизычев и Олег Варнов нашли XSS-уязвимость, дающую опытному программисту доступ к чужим аккаунтам. Они пишут:
«Баг был очень серьезным, ведь активная уязвимость дает доступ к действиям от лица другого пользователя. Мы бы могли спокойно рассылать заявки в друзья, переводить себе голоса или, более того, могли бы и Дурова зацепить».
Но добросовестные хакеры сообщили об ошибке администрации и получили за это от начальника отдела разработок по 150 000 рублей во внутренней валюте VK — голосах.
Руководитель проектов по информационной безопасности в компании КРОК (компания-системный интегратор, входит в топ-10 крупнейших IT-компаний РФ) Павел Луцик поделился с «360» своим экспертным мнением:
«Это достаточно популярная практика, многие софтовые компании, которые улучшают свои продукты, объявляют конкурсы на поиск „дыр“. Можно вспомнить такой случай: на заводе в Иране по обогащению урана использовался контроллер Siemens, в систему проник вирус Stuxnet и нарушил работу завода, фактически остановив производство. Чтобы сохранить свое лицо, Siemens выставил для всех желающих на обозрение свой контроллер для публичного поиска уязвимостей в своей системе. Правда, если хакер сотрудничает с официальной компанией, то, наверное, он уже не взломщик, а „white hat hacker“ (этичный хакер). Наша компания также иногда привлекает таких людей, когда для реализации проекта необходимы специфические компетенции. В любой компании, занимающейся информационной безопасностью, есть пул таких наемников».
Богатыми поощрениями хакеров славится Google — в 2010 году компания анонсировала программу Chrome Rewards Program, в рамках которой выплатила взломщикам в общей сложности порядка $ 4 млн. Победитель контеста «Pwn2Own», 19-летний хакер под ником Pinky Pie, получил максимальный приз — $ 60 000. Всего призовой фонд конкурса составил $ 1 млн. Американский хакер, взломавший iPhone и Sony PlayStation3, Джордж Хоц получил $ 150 00 и был радушно приглашен компанией на стажировку.
Более того, в 2015 году поисковик открыл программу грантов для хакеров Vulnerability Research Grants. Выплаты варьируются от $ 500 USD до $ 3 133, причем для получения денег не требуется предъявить ошибки системы — их можно искать в процессе стажировки. Как видно, это имеет свой эффект — за время сотрудничества с хакерами было раскрыто более 500 существенных багов.
Яндекс
В 2015 году главный отечественный поисковик объявил «месяц на поиск уязвимостей» в своем браузере. Приз за первое место составил 500 000 рублей, за второе и третье — 300 000 и 150 000 соответственно. В условиях конкурса «Яндекс» пишет, что их интересуют «уязвимости, позволяющие нарушить конфиденциальность или целостность пользовательских данных». Поисковик пытался выяснить, есть ли в его системе защиты слабые места, о которых штатные программисты и не подозревают, и похоже преуспел в этом.
Также с 2010 года при поддержке «Яндекса» и Digital Security в Москве проводится международная конференция Zeronights, посвященная кибербезопасности. В рамках конференции проводится конкурс HackQuest, в ходе которого участникам тоже предстоит взломать программы и обходить защиту. Победители получают бесплатное приглашение на конференцию и место в Зале славы, что среди хакеров считается очень достойной наградой.
Продюсер: Мария Мешкова
Подробная статья про работу Bug Bounty по DEX. Со дня на день, после завершения основных работ по Uniton, мы перейдём к работе над биржей TegroFinance. 
Децентрализованная криптовалютная биржа TegroFinance на данный момент находится в тестовой версии. Прорабатываются всевозможные детали и производится оптимизация продукта. Как стать одним из первых пользователей DEX и при этом заработать немного Toncoin или токенов TGR?
Наши разработчики со всей ответственностью относятся к своей работе и ежедневно тестируют DEX, но мы хотим предоставить такую возможность и пользователям, которые заинтересованы в скорейшей настройке DEX и ее выпуске в mainnet. Таким образом, мы запустили программу Bug Bounty DEX TegroFinance.
Как заработать на уязвимостях с помощью Bug Bounty
Для начала нужно определить, что такое Bug Bounty — это программа выплат вознаграждений за обнаружение ошибок и уязвимостей в безопасности продукта и дальнейшем сообщении о них команде разработчиков.
Bug Bounty обычно имеет свои правила проведения и взаимодействия с ресурсами продукта команды, где определяется, что можно делать, а что нельзя.
За нахождение уязвимостей и ошибок при участии в программе Bug Bounty предусматриваются различные награды, в зависимости от критичности найденной ошибки. Таким образом, пользователи могут зарабатывать на Bug Bounty, помогая разработчикам в оптимизации продуктов.
Команды разработчиков в свою очередь получают множество заинтересованных пользователей, которые непрерывно проверяют на прочность продукт, что позволяет планомерно усиливать безопасность за счет исправления возможных ошибок. При участии в TegroFinance Bug Bounty пользователи смогут бесплатно заработать криптовалюту TGR.
О чем сообщать при участии в программе Bug Bounty
Существует ряд трудностей, с которыми могут столкнуться тестировщики. Обо всех ошибках вы можете сообщать нашей команде, рассматривать предложенные ошибки будем по степени важности.
К примеру, зачтется в качестве недоработки если пользователь не имеет возможности добавить ликвидность в пул или не может корректно зайти на официальный сайт DEX. Невозможность совершить обмен токенов или вывести средства на кошелек также являются поводом сообщить об этом нам и заработать на Bug Bounty.
Критические ошибки или недостатки в коде будут рассматриваться в первую очередь. Помимо этого банальные опечатки на сайте также могут быть расценены, как ошибки и их тоже можно учитывать и за это заработать криптовалюту.
Что будет после сообщения об ошибке при участии в Bug Bounty
После сообщения о нахождении ошибок или уязвимостей в ходе программы Bug Bounty наши эксперты по безопасности внимательно изучат ваш отчет.
С вами свяжутся в течение двух рабочих дней, чтобы обсудить его и задать ряд вопросов, к примеру, при каких обстоятельствах была обнаружена ошибка?
Также обговариваются дальнейшие действия при условии, что сообщение об ошибке до сих пор актуально или обнаружено вами впервые.
Следует учитывать, что по программе Bug Bounty нам приходит много сообщений. Наша команда старается давать обратную связь в максимально короткие сроки, но мы не можем ответить тем пользователям, чьи ответы заполнены некорректно.
Участвуя в Bug Bounty, для сообщения об ошибке вам нужно правильно заполнить все строки формы. Сообщения, где строки пропущены с помощью добавления знака «-» или других случайных слов или чисел не принимаются.
Как сообщить об ошибке по программе Bug Bounty
В случае если вы обнаружили уязвимость или ошибку, пожалуйста, сообщите нам об этом через специальную форму заявки TegroFinance Bug Bounty https://tegro.gitbook.io/ru/wallet/bug-bounty.
Обязательно опишите найденную вами уязвимость, как можно подробнее и предоставьте нам любые имеющиеся у вас доказательства (скриншоты или запись экрана).
Правила программы Bug Bounty
Помните, что при участии в программе Bug Bounty вы должны придерживаться обозначенных правил. Вы можете использовать лишь необходимые методы для нахождения и демонстрации уязвимостей в DEX. Как работает наша биржа, подробнее описано в первой статье https://companies.rbc.ru/news/7c14956c-9ca1-4327-bbcc-752f569cf590/pervaya-detsentralizovannaya-birzha-na-ton-ot-tegrofinance/.
Например, вот несколько обязательных условий при участии в Bug Bounty DEX:
- Первостепенная задача — позаботьтесь о защите своей системы;
- Не используйте социальную инженерию для получения доступа к системе;
- Ни в коем случае не изменяйте систему если обнаружили такую возможность, а сразу сообщите об этом нашим экспертам.
Сколько можно заработать при участии в Bug Bounty
Заработок на Bug Bounty напрямую зависит от степени серьезности ошибки и потенциальном ущербе для децентрализованной криптобиржи TegroFinance, который вы смогли предотвратить. Сумма награды будет выплачена в криптовалюте TGR, основываясь на следующих критериях:
- При низкой критичности ошибки:
Ошибками здесь могут считаться неправильное написание слов на сайте, а также ошибки UI UX (внешний сайт). Вознаграждение по программе Bug Bounty составит до $100 в $TGR.
- При средней критичности ошибки:
Средняя критичность включает в себя невозможность входа на платформу или проблемы, связанные с логикой и механикой сайта. Здесь можно заработать до $1000 в криптовалюте TGR.
- При высокой критичности ошибки:
Здесь расцениваются самые серьезные ошибки, например, проблемы, связанные с уязвимостями и эксплойтами в системе безопасности или связанные с финансовыми потерями. За нахождение самых критичных ошибок можно заработать до $10000 в криптовалюте TGR.
Участие в программе Bug Bounty позволяет наладить дружественные отношения с разработчиками, повысить уровень качества и безопасности DEX TegroFinance, а также заработать криптовалюту. Для авторизации на сайте децентрализованной биржи, необходимо использовать кошелек TON, например uniton или любой другой, например Tonkeeper или Tonhub.
Мы будем рады каждому заинтересованному пользователю, который решит испробовать наш DEX на прочность. Обещаем, что будем всячески поддерживать крипто-энтузиастов и оперативно отвечать на отчеты по ошибкам. Благодаря Bug Bounty DEX экосистема TON станет безопаснее и удобнее в разы быстрее, что будет являться нашей общей заслугой.
Не каждому из нас суждено стать Стивом Джобсом или Марком Цукербергом, ведь идеи на миллион посещают только избранных. Однако, это не повод, чтобы вешать нос. Если вы программист, вы всегда сможете заработать на чужих ошибках. Как? Очень просто. Рассказываю.
Все знают, что перед тем, как запустить какой-либо крупный IT продукт, он проходит несколько ступеней тестирования, проходя через альфа и бета стадии. Но сделать так, чтобы в программе не было ни сучка, ни задоринки, не удавалось еще никому. Поэтому компании устраивают программы, в рамках которых, пользователь, нашедший ошибку, может получить вознаграждение. При чем очень солидное.
Сергей Глазунов, будучи студентом 3 курса Тюменского Государственного Университета, сумел только в 2011 году срубить с компании Google круглую сумму в $44 318. После этого, Сергей нашел еще много разных недочетов в системе Google, и самой большой суммой выплат стала цифра в $60 000.
Google не единственная компания, которая готова платить за то, что вы сделаете ее лучше. Такой способ нахождения собственных ошибок практикуют все. Минимальное вознаграждение за найденный баг составляет $500 (в крупных компаниях), а вот за серьезные системные проблемы, если вы сможете их найти, вам может светить сумма и с шестью нулями.
Как пример, можно рассматривать мессенджер Telegram, создателем которого является известный в рунете Павел Дуров. Павел заявил, что ручается за безопасность своего приложения, и его секретные чаты никто не сможет взломать. И предложил $200 000 тому, кто все же сможет это сделать и прочесть переписку самого Дурова с братом Николаем. Через несколько дней после этого объявления, один из пользователей таки нашел лазейку, однако не смог добраться до самой переписки. Тем не менее, его труды не прошли даром, 50% от обещанной суммы, а именно $100 000 он получил.
Но бывает и так, что все усилия напрасны. Так, например, случилось с пользователем Facebook из Палестины по имени Халил Шритех. А произошло вот что. если в настройках приватности в Facebook вы отметили свою страницу, как приватную, ни один посторонний пользователь не может ни писать на ней, ни оставлять публикации иного рода. А вышеупомянутый Халил, который, понятное дело, является разработчиком, сумел найти уязвимость, позволяющую это сделать. Сначала он обратился в службу безопасности Facebook, однако его обращение осталось без ответа. Тогда он решил действовать напрямки и оставил сообщение с информацией об уязвимости на странице самого Марка Цукерберга. Как он потом рассказал, с ним тут же связались, расспросили, потом заблокировали профиль по неизвестным причинам. На этом история закончилась. Впоследствии профиль разблокировали, и даже прислали Халилу письмо, в котором было сказано, что его обращение не имеет достаточной технической информации. И никакого тебе вознаграждения, ни даже банального «спасибо».
Так что, выбирая компанию, на которой хотите подзаработать, сто раз подумайте. Возможно, ваши усилия не будут оценены по достоинству. Но если вам повезет, вы можете стать тем самым человеком, которому какой-нибудь знаменитый СЕО выплатит 200 тысяч шуршащих долларов и предложит сотрудничать. Ведь для того, чтобы вас заметили, вы должны обладать невероятными знаниями! А такие кадры нужны всем. Удачи!
Автор: MiaFelicita