024#ITiTy IT Security - Andrzej Dyjak

Dodatkowo są inne platformy, bardziej niszowe. Dla przykładu Integrity, tutaj o ile dobrze kojarzę, to Integrity jest ciekawy dlatego, że ma dużo programów Bug Bounty, dużo firm, które uczestniczą, które biorą udział właśnie w tych Bug Bounty na platformie Integrity, jest z Europy. Natomiast HackerOne i Backcrowd, one są bardziej no takie ogólnoświatowe, tam są takie największe, największe firmy, każdy je zna, typu tam Shopify czy Airbnb czy tego rodzaju firmy. I teraz na czym to polega? To polega na tym, że Bug Bounty, te firmy, te platformy, wygospodarowały sobie taką niszę.

Cały przebieg tego zgłaszania podatności, podstawowej weryfikacji podatności i będę dostarczał tą informację do oryginalnego vendora, do mojego klienta. Czyli dla przykładu, jeżeli mamy Airbnb, to Airbnb zgłasza się do HackerOne, mówi, że no, fajnie, chcielibyśmy mieć program bug bounty, chcielibyśmy, żeby zewnętrzni badacze bezpieczeństwa mogli No i tutaj

Czyli mieć niejako ten poligon doświadczalny, no to to jest świetna sprawa, bo wchodząc na przykład na taki HackerOne, wchodząc na listing tych programów bug bounty, wybierając sobie jakiś program, dla przykładu niech będzie ten z Airbnb, mamy tam zasady co możemy testować, czyli mamy pewien zakres web aplikacji, zakres hostów, zakres IP, które możemy testować i potem możemy po prostu zacząć i... Testować, zacząć faktycznie oceniać bezpieczeństwo, czy nawet pentestować, w zależności od programu, te systemy. Jeżeli nam się coś uda, jeżeli uda nam się popchnąć coś dalej, znaleźć podatność, uda się je wyeksploitować, to możemy za to dostać co najmniej podziękowanie czy wpis, dla przykładu, że ktoś taki i taki znalazł podatność u nas, mają często gęsto takie Hall of Fame,

Skillset wtedy jest tylko kwestią czasu. Jednym zajmie trochę mniej, innym zajmie trochę więcej. Nie ma znaczenia. Jeżeli lubimy to, co robimy, to będzie fajnie. I teraz przechodząc tak gładko do tego, czy w takim wypadku początkujący w ogóle mają co szukać w Bug Bounty, Wiesz co, owszem, zgadzam się z tym, że krajobraz wygląda trochę inaczej niż jeszcze kilka lat temu. Na pewno wygląda inaczej niż wtedy, kiedy ja zaczynałem, ale też musisz brać pod uwagę, to jest taki kontrargument, że software'u też jest więcej, software buduje się szybciej, feature'y na produkcję wlatują szybciej niż kiedyś, więc nawet jeżeli Nawet jeżeli dana aplikacja, dany serwis, niech już będzie z tego Airbnb, był testowany tydzień temu, to on w tym tygodniu będzie miał już dodany nowy kod, będzie miał dodatkowe stany, które trzeba przetestować pod kątem bezpieczeństwa, więc nie jest do końca tak, że należałoby się zniechęcać, że kurczę, tak tu dużo ludzi to testowało, to na pewno ja nic nie znajdę.