Сегодня в 21:00 по киевскому времени Минцифра запускает официальную охоту на баги (багбаунти) в мобильном приложении Дія. Призовой фонд составляет $35 тыс. или миллион гривен. В состязании, которое состоится на базе платформы Bugcrowd, могут принимать участие белые хакеры всего мира. Тестирование продлится до 15 декабря.
Цель Минцифры - сделать так, чтобы украинцы были уверены в защищенности своих персональных данных и доверяли государственным цифровым сервисам. Недавно разработчики Дія 2.0 получили аттестат соответствия Комплексной системы защиты информации (КСЗИ). Это очень важный шаг, ведь он означает, что приложение является безопасным. Также при поддержке проекта USAID “Кибербезопасность критически важной инфраструктуры в Украине” и Академии электронного управления Эстонии приложение успешно выдержало два pen-теста (тестирование на проникновение).
Теперь на очереди новая проверка - охота на баги с привлечением мирового хакерского сообщества. Условия просты: чем серьезнее уязвимость, тем больше выплата. В каждой категории сложности может быть несколько специалистов, которые найдут уязвимости. Поэтому комиссия разработчиков будет принимать решение о выделении средств после того, как баги будут обнаружены. Разработчики изучат каждую уязвимость и наградят каждого хакера, который найдет дыры в тестовом приложении Дія.
Вознаграждение будет разделено по нескольким категориям сложности уязвимости: первый уровень сложности - до $3,500, второй - до $1,200, третий - до $600, четвертый - до $250.
Белые хакеры будут иметь доступ к копии продуктовой среды (за исключением доступа к государственным реестрам и другим информационным системам). Это позволит избежать возможности утечки уязвимостей в ходе охоты.
Платформа Bugcrowd берет на себя практически все операционные расходы, что позволит команде Минцифры сосредоточиться на устранении выявленных уязвимостей (если таковые будут).
После завершения первого этапа багбаунти разработчики планируют продолжать эту практику и в дальнейшем. Уже в следующем году будет проведен второй этап тестирования Дія, который продлится дольше.
