Nagrody do 20 000 PLN, wstępny budżet 1 mln PLN i pierwsze usługi do testowania - od dzisiaj można spróbować swoich sił w znajdowaniu podatności w serwisach internetowych wybranych polskich podmiotów publicznych. Właśnie ruszyła polska platforma bug bounty hack.cert.pl, zbudowana i zarządzana przez zespół CERT Polska.
Programy bug bounty są doskonałym (choć często pracochłonnym) sposobem nawiązania współpracy pomiędzy badaczami bezpieczeństwa a podmiotami, które chcą błędy w swojej infrastrukturze naprawić. Badacze znajdują podatności, zgłaszają je, błędy są weryfikowane i w razie potwierdzenia podatności wypłacana jest nagroda pieniężna. Na analogiczne rozwiązanie, w różnym zakresie, zdecydowało się do tej pory kilka państw na świecie, jednak w większości postanowiły one oddać proces obsługi błędów w cudze ręce. Globalne projekty, takie jak HackerOne czy Bugcrowd, biorą na siebie kwestie platformy, wstępną weryfikację zgłoszeń czy wypłatę nagród. Polska poszła inną drogą i dzięki pracy zespołu CERT Polska, który zbudował własną platformę i zajmie się oceną zgłoszeń, informacje o podatnościach pozostaną w krajowej infrastrukturze.
Czy zaleją nas zgłoszenia od AI
Twórcy platformy zastosowali nietypowy mechanizm identyfikacji zgłaszających. Przesłanie zgłoszenia błędu będzie wymagało potwierdzenia swojej tożsamości dzięki rządowej usługi Login.gov.pl. Wynika to przede wszystkim z potrzeby znalezienia legalnej formy rozdawania nagród za odnalezione błędy. W tym celu użyto formuły konkursu, w którym wziąć udział mogą wyłącznie osoby pełnoletnie oraz płacące podatki w Polsce, co w dużej mierze można zweryfikować dzięki serwisowi Login.gov.pl. Efektem ubocznym jest wyeliminowanie zgłoszeń od przypadkowych amatorów nagród z wielu regionów świata, których zgłoszenia bywają bardzo niskiej jakości.
Każdy konkurs (a każdy podmiot, biorący udział w programie, będzie miał swój) otrzyma własny regulamin, określający zarówno zakres testowanych usług, warunki uczestnictwa, jak i wysokość nagród. Regulaminy są dość szczegółowe - zajrzyjcie sami, znajdziecie tam wszystkie informacje potrzebne, by wziąć udział i (być może) zgłosić pierwszą podatność.
Solidnym zabezpieczeniem przed falą niezweryfikowanych zgłoszeń są także zapisy regulaminów, gdzie seria błędnych raportów może spowodować czasowe zablokowanie konta - warto więc weryfikować znaleziska przed ich przekazaniem.
Co można testować
Program dopiero wystartował, więc na razie na platformie dostępnych jest tylko kilka konkursów. Obejmują one serwis www.gov.pl, Gminę Władysławowo, komunikator mSzyfr, serwisy CERT Polska oraz wybrane serwisy NASK. Zapraszamy zatem do testowania - zadanie pewnie nie jest łatwe, bo serwisy już wiele testów bezpieczeństwa przeszły. Nie oznacza to jednak, iż żadnych błędów nie ma. Chętnie opiszemy pierwsze znaleziska, jak tylko zostaną załatane. Powodzenia!
PS. jeżeli reprezentujecie podmiot publiczny, który osiągnął już wysoki poziom dojrzałości w obszarze bezpieczeństwa, to program jest otwarty - można się zgłaszać.
