1 червня система Prozorro вдруге запустила програму пошуку вразливостей інформаційної захищеності Bug Bounty. Про перший досвід співпраці з «білими» хакерами та те, як саме відбуватиметься тестування сервісу — розповів генеральний директор ДП «Прозорро» Василь Задворний.

Чому Prozorro вирішили проводити саме проєкт Bug Bounty?

Сучасний світ стає все більш діджиталізованим, і з кожним місяцем зростає кількість ситуацій, в яких витоки даних призводять до серйозних наслідків. Цей проєкт є найбільш розповсюдженим та надійним способом перевірити кібербезпеку системи у режимі реального часу. Вже багато років його використовують такі світові корпорації як Google, Facebook, Microsoft та державні структури на кшталт Пентагону. Це допомагає їм захищати свої бази даних та програмні продукти.

Як загалом відбувається захист системи Prozorro? Чи вразлива вона до хакерських атак?

На жаль, єдина інформаційна система, яка не є вразливою до атак — це система, не підключена до мережі. Будь-які системи у світі, якими б захищеними вони не були, є вразливими. Питання виключно в тому, скільки буде коштувати їхній злам. Тому задача захисту полягає не в тому, аби абсолютно захистити систему, а в тому, аби збільшити вартість атаки.

Саме за такою стратегією відбувається захист сервісу Prozorro: ми максимально зменшуємо кількість потенційних векторів атаки, мінімізуючи можливі втрати та роблячи систему максимально недоступною для зовнішніх загроз. Ми постійно слідкуємо за оновленнями програмного забезпечення, аби убезпечити себе від так званих вразливостей нульового дня — шкідливих програм, проти яких ще не розроблені захисні механізми. До того ж, активно застосовуємо ресурси зовнішніх сторін, аби оперативно реагувати на ситуації, що можуть виникати.

У переважній більшості випадків ми не стикаємося з цілеспрямованими атаками на систему Prozorro. Скоріше з розвідкою. Ми фіксуємо її та слідкуємо, щоб серйозних втручань в роботу сервісу не було.

Яких результатів вам вдалося досягти від співпраці з «білими» хакерами торік?

Восени 2019 року система Prozorro вперше запустила програму Bug Bounty у форматі дводенного марафону. Навіть за такий короткий термін ми отримали дуже корисний для нас результат. IT-фахівці не знайшли критичних вразливостей на продуктивній системі, зате виявили два вектори атак, які б могли стати критичними у майбутньому, та велику кількість потенційно цікавих векторів атак.

Окрім того, саме Bug Bounty змусив нас звернути увагу на необхідність забезпечення безпеки системи в цілому, а не лише її центрального компонента. Восени ми тестували саме центральну базу даних, а оскільки цей компонент майже не має юзер-інтерфейсів, це суттєво зменшило кількість потенційних векторів атак. Саме тому з цього року ми розширюємо зону тестування і на майданчики, які з нами працюють.

Які відмінності цьогорічного Bug Bounty від минулорічного марафону?

Нам важливо захистити ВСІ дані користувачів, незалежно від того, де вони зберігаються: у базах Prozorro, на майданчиках чи ще десь. Тому основна відмінність цьогорічного проєкту полягає в тому, що тепер ми тестуватимемо не лише центральну базу даних, а й майданчики, які також є частиною екосистеми (наразі до програми долучилися три торговельних онлайн-майданчики з тринадцяти). Це робить проєкт складнішим, але тому і більш цікавим. Ми маємо захищати всіх учасників екосистеми, тому в наших планах до кінця року розширити програму на всі майданчики.

Ще одна відмінність — відтепер проєкт діятиме на постійній основі. Всі розуміють, що Prozorro, як і будь-який інший програмний продукт, постійно оновлюється. Тому тестування сервісу може кожного разу приносити нові результати.

Як позначиться хакерське втручання на роботі системи та майданчиків?

Хочу одразу заспокоїти всіх користувачів сервісу: дослідження відбуватиметься у спеціальному середовищі та ніяк не позначиться на проведенні тендерів. Насправді це спричинено тим, що в Україні існують певні юридичні обмеження щодо проведення подібних проєктів, особливо коли ми говоримо про продуктивну систему. Саме тому тестування в Prozorro проходить не в продуктивному, а в препродуктивному (stage-in) середовищі, яке використовується в процесі розгортання (деплоймингу) системи.

Попри це, така умова лише мінімально обмежуватиме можливості хакерів, тому що препродуктивне середовище в переважній більшості часу аналогічне продуктивному. Ми не хотіли створювати штучний майданчик спеціально для тестувань, аби в результаті не знайти вразливостей та заспокоїти себе. Ні, проєкт відбуватиметься саме в тій частині системи, яка постійно оновлюється. Аналогічно відбуватиметься і тестування онлайн-майданчиків.

Які ваші особисті очікування від проєкту? Чи вдасться, на вашу думку, комусь «хакнути» Prozorro та майданчики?

Я впевнений, що так, вдасться, і саме для цього ми і робимо цей проєкт. Ми розуміємо, що програми на кшталт Bug Bounty проводяться не для того, аби заспокоїтись та відзвітувати, що у нас все чудово і жодних вразливостей не знайдено. Навпаки, ми хочемо, аби ці речі були знайдені. Основна задача тестування в тому, щоб вони були знайдені нами раніше, ніж кимось іншим.

Тому ми закликаємо всіх, кому цікава участь у такого роду заходах, долучатися. Bug Bounty від Prozorro — це перший в Україні проєкт, який проводиться державою, і в цьому його унікальність. Це прекрасна можливість для IT-спеціалістів застосувати свої навички на повну, знайти вразливості у кібербезпеці державного сервісу та в результаті отримати не позови юридичних напрямків, а вдячність та визнання.