Bug Bounty Prozorro

1 червня у системі Prozorro було запущено проєкт пошуку вразливостей інформаційної безпеки Bug Bounty. Минулої осені ДП «Прозорро» стало першою в Україні державною установою, яка скористалася послугами «білих» хакерів, а починаючи з цього року проєкт буде діяти вже на постійній основі. Розповідаємо детальніше про його історію.

Що таке Bug Bounty

Bug Bounty — це програма, за якою вебсайти та розробники програмного забезпечення пропонують усім охочим фахівцям IT-сфери отримати визнання чи винагороду за знайдені помилки, несправності чи вразливості системи. На сьогодні вона вважається найбільш ефективним способом пошуку помилок, який у багатьох випадках виявляється кориснішим за короткострокові аудити та тести спеціалізованих компаній. Послугами «білих» хакерів вже давно користуються такі гіганти як Google, Apple, Facebook і навіть американський Пентагон.

Історія появи назви

Вперше програма була анонсована у 1983 році компанією Hunter & Ready для перевірки їхньої операційної системи. За умовами кожен, хто знайде помилку у програмному забезпеченні, отримував на вибір автомобіль Volkswagen Beetle (його також називають «Bug» — «Жук») або 1000 доларів. Акція була опублікована на листівках та мала такий заклик: «Get a bug if you find a bug!» («Отримай «жука», якщо знайдеш помилку!»).

Перший офіційний запуск Bug Bounty

Десять років потому, у 1995 році, до цієї ідеї звернувся Джарретт Рідлінхафер — інженер техпідтримки Netscape Communications Corporation. Саме він придумав назву проєкту — «Bug Bounty». В той час компанія виробляла користувацьке програмне забезпечення та активно заохочувала своїх працівників. У її штаті було багато ентузіастів, зацікавлених у створенні найкращого продукту, які постійно шукали та виправляли помилки, щось вдосконалювали і публікували свої результати та ідеї на сайтах та форумах компанії.

Джарретт побачив у цьому великий потенціал та запропонував керівництву корпорації запустити програму, за якою кожен учасник, що знайде технологічні помилки у бета-браузері Netscape Navigator 2.0, отримає винагороду. Ідея сподобалася більшості, і на проєкт виділили початковий бюджет у 50 тисяч доларів. Таким чином офіційно перша програма під назвою «Bug Bounty» була запущена 10 жовтня 1995 року. Вона привернула увагу багатьох спеціалістів та мала настільки значний успіх, що згадувалась у більшості книг, присвячених здобуткам корпорації Netscape.

Подальша історія використання Bug Bounty

Довгий час Bug Bounty не мала широкої популярності. Лише з 2002 року її все активніше почали застосовувати різні IT-компанії. Зліт відбувся у 2010 році, коли програму запустив Google, щоб започаткувати тенденцію співпраці з етичними хакерами. Наразі ж Bug Bounty використовують 6% найбільших компаній світу зі списку Forbes Global 2000.

Bug Bounty Prozorro

Які вразливості знаходять «білі» хакери?

Список вразливостей в інформаційній безпеці настільки великий, що відсортувати їх за певними категоріями дуже важко. Але найчастіше етичні хакери знаходять наступні потенційні вектори атак:

- SSRF (підробка запитів на стороні серверу) — дає змогу отримати доступ до внутрішньої інфраструктури компанії, навіть якщо вона не доступна для мережі інтернет;
- SQL-ін’єкція — дозволяє отримати доступ до бази даних сайту, в якій зберігаються особиста інформація користувачів;
- RCE (віддалене виконання коду) — дає змогу хакеру видавати себе за адміністратора серверу та виконувати потрібні команди.

Деякі вразливості знаходяться відносно легко і швидко, інші — потребують великого досвіду та значної кількості часу. Чим серйозніше компанія ставиться до своїх баз даних, тим складніша інфраструктура її серверів і тим важче знайти недоліки в їхньому захисті. Але потенційні вразливості все одно є, і саме «білі» хакери допомагають знайти їх і вчасно закрити.

Розраховуємо, що програма Bug Bounty принесе багато користі системі Prozorro та всім підключеним до неї торговельним майданчикам. Це безперечно посприяє подальшому розвитку екосистеми онлайн-закупівель.

Дізнавайтеся більше та перемагайте разом зі SmartTender!