024#ITiTy IT Security - Andrzej Dyjak

No, że... Coś takiego, jak to właśnie poszukiwanie podatności dotarło do Ciebie, że jest taka możliwość spieniężania tego swojego skillsetu, tych umiejętności, jak wspomniałeś, bo to nie było właśnie aż tak wiele miejsc, gdzie można szukać takich rzeczy. Czy to też było w ten sposób, że sam na własną rękę poszukiwałeś jakichś podatności? Powiedzmy na stronach internetowych i sam się zgłaszałeś do firm, czy to jednak zawsze gdzieś musiało być przez jakiegoś pośrednika? Nie. Wiesz co, w tamtych czasach to wyglądało trochę inaczej i dlatego też wspomniałem o tych bug bounties, o których możemy potem jeszcze porozmawiać.

Ja zgłaszałem do nich, oni mi płacili, natomiast oni potem to zgłaszali dalej, czyli na przykład do Apple'a, no i Apple to łatał, no i wszyscy byli szczęśliwi. Tak, albo i nie. W sensie raczej na koniec dnia, prędzej czy później zawsze jest to załatane, tylko w tamtych czasach jeszcze nie było takiego nacisku, że musi być to załatane dla przykładu do 90 dni. Nie było takiej... Jasne. Nie było tej kultury. Dokładnie, nie było kultury. Natomiast w chwili obecnej jest trochę łatwiej, dlatego że różnego rodzaju firmy typu właśnie Apple, Google, Microsoft i wiele różnych tych dużych firm mają własne swoje takie programy bug bounty. Więc zamiast iść do Zero Day Initiative i sprzedawać exploity im, można pójść po prostu do firmy i

Dobrze, integralność danych, jeżeli mówimy właśnie o Information Security, to mamy tu na myśli integralność danych, czyli dla przykładu, jeżeli ja zaczynam się komunikować z moim bankiem, to chcę, żeby dane, które przesyłam do swojego banku, były tymi danymi, które ja faktycznie przesyłam, czyli żeby nikt pomiędzy mną a stroną banku nie był w stanie modyfikować tych danych. Więc właściwość tutaj jest właśnie tych danych tego kanału komunikacyjnego, że on musi niejako zachować tą integralność pomiędzy punktem A, a punktem, może nie B, bo tak prosto nie jest, ale pomiędzy punktem na przykład właśnie F.

Dodatkowo są inne platformy, bardziej niszowe. Dla przykładu Integrity, tutaj o ile dobrze kojarzę, to Integrity jest ciekawy dlatego, że ma dużo programów Bug Bounty, dużo firm, które uczestniczą, które biorą udział właśnie w tych Bug Bounty na platformie Integrity, jest z Europy. Natomiast HackerOne i Backcrowd, one są bardziej no takie ogólnoświatowe, tam są takie największe, największe firmy, każdy je zna, typu tam Shopify czy Airbnb czy tego rodzaju firmy. I teraz na czym to polega? To polega na tym, że Bug Bounty, te firmy, te platformy, wygospodarowały sobie taką niszę.

Takie HackerOne wchodzi całe na biało i mówi, no dobra, no to my się zajmiemy tym kawałkiem. My się zajmiemy kontaktowaniem z researcherem, my się zajmiemy tymi wypłatami. Oczywiście to jest proksowane, ale my zajmiemy się taką papierkową robotą, tą żmudną robotą, a wy w zamian za to, za jakąś tam opłatą, będziecie mieć te informacje o podatnościach, które potem będziecie mogli sobie wyłapać. Więc i firmy, i te duże firmy, które korzystają z platform Back Bounty, na tym korzystają, bo obniżają sobie koszt prowadzenia takiego Back Bounty same. I zewnętrzni badacze bezpieczeństwa na tym korzystają, ponieważ w tym momencie są w stanie zgłaszać te podatności, no niejako do tych oryginalnych firm, poprzez platformy typu właśnie HackerOne czy Back Crowd.

Pewnie w pierwszym, drugim, trzecim, czwartym podejściu tak będzie, no bo to jest normalne, ale jak najbardziej osoba początkująca, nawet z relatywnie niskim skillsetem, czyli powiedzmy jakąś podstawową wiedzą na temat podatności z OWAS Top 10, Z jakąś podstawową wiedzą na temat, jak szukać takich podatności, jak je wyłapywać, jak je eksploitować. Nawet taka osoba jest w stanie wejść w Bug Bounty i zacząć znajdować te podstawowe problemy, dlatego że po prostu ten software, te serwisy, które cały czas wchodzą w zakres różnego rodzaju Bug Bounties, różnych programów od różnych firm, no one cały czas się zmieniają. One mają setki W topowych firmach to są setki setki deployów dziennie na produkcję.