Bug Bounty Prozorro

1 июня в системе Prozorro был запущен проект поиска уязвимостей информационной безопасности Bug Bounty. Прошлой осенью ГП «Прозорро» стало первым в Украине государственным учреждением, которое воспользовалось услугами «белых» хакеров, а начиная с этого года проект будет действовать уже на постоянной основе. Рассказываем подробнее о его истории.

Что такое Bug Bounty

Bug Bounty — это программа, в рамках которой вебсайты и разработчики программного обеспечения предлагают всем желающим специалистам IT-сферы получить признание или вознаграждение за найденные ошибки, неисправности или уязвимости системы. Сегодня она считается наиболее эффективным способом поиска ошибок, который во многих случаях оказывается полезнее краткосрочных аудитов и тестов специализированных компаний. Услугами «белых» хакеров уже давно пользуются такие гиганты как Google, Apple, Facebook и даже американский Пентагон.

История появления названия

Впервые программа была анонсирована в 1983 году компанией Hunter & Ready для проверки их операционной системы. По условиям каждый, кто найдет ошибку в программном обеспечении, получал на выбор автомобиль Volkswagen Beetle (его также называют «Bug» — «Жук») или 1000 долларов. Акция была опубликована на брошюрах и имела такой призыв: «Get a bug if you find a bug!» ( «Получи «жука», если найдешь ошибку!»).

Первый официальный запуск Bug Bounty

Десять лет спустя, в 1995 году, к этой идее обратился Джарретт Ридлинхафер — инженер техподдержки Netscape Communications Corporation. Именно он придумал название проекта — «Bug Bounty». В то время компания производила пользовательское программное обеспечение и активно поощряла своих сотрудников. В ее штате было много энтузиастов, заинтересованных в создании лучшего продукта, которые постоянно искали и исправляли ошибки, что-то совершенствовали и публиковали свои результаты и идеи на сайтах и форумах компании.

Джарретт увидел в этом большой потенциал и предложил руководству корпорации запустить программу, по которой каждый участник, нашедший технологические ошибки в бета-браузере Netscape Navigator 2.0, получит вознаграждение. Идея понравилась большинству, и на проект выделили первоначальный бюджет в 50 000 долларов. Таким образом официально первая программа под названием «Bug Bounty» была запущена 10 октября 1995. Она привлекла внимание многих специалистов и имела настолько большой успех, что упоминалась в большинстве книг, посвященных достижениям корпорации Netscape.

Дальнейшая история использования Bug Bounty

Долгое время Bug Bounty не имела широкой популярности. Лишь с 2002 года ее все активнее стали применять различные IT-компании. Взлет состоялся в 2010 году, когда программу запустил Google, чтобы начать тенденцию сотрудничества с этическими хакерами. Пока же Bug Bounty используют 6% крупнейших компаний мира из списка Forbes Global 2000.

Bug Bounty Prozorro

Какие уязвимости находят «белые» хакеры?

Список уязвимостей в информационной безопасности настолько велик, что отсортировать их по определенным категориям очень трудно. Но чаще всего этические хакеры находят следующие потенциальные векторы атак:

- SSRF (подделка запросов на стороне сервера) — позволяет получить доступ к внутренней инфраструктуре компании, даже если она не доступна для сети интернет;
- SQL-инъекция — дает возможность получить доступ к базе данных сайта, в которой хранятся личные данные пользователей;
- RCE (удаленное выполнение кода) — позволяет хакеру выдавать себя за администратора сервера и выполнять нужные команды.

Некоторые уязвимости находятся относительно легко и быстро, другие — требуют большого опыта и значительного количества времени. Чем серьезнее компания относится к своим базам данных, тем сложнее инфраструктура ее серверов и тем труднее найти недостатки в их защите. Но потенциальные уязвимости все равно есть, и именно «белые» хакеры помогают найти их и вовремя закрыть.

Рассчитываем, что программа Bug Bounty принесет много пользы системе Prozorro и всем подключенным к ней торговым площадкам. Это определенно поспособствует дальнейшему развитию экосистемы онлайн-закупок.

Узнавайте больше и побеждайте вместе со SmartTender!