Как и все приличные фирмы, компания «Яндекс» тоже объявила о введении программы по поиску уязвимостей с выплатой вознаграждений. Программа называется «Охота за ошибками» и со всеми подробностями можно познакомиться на официальном сайте и в официальном положении о конкурсе (pdf).

Денежные призы составляют от 3000 до 30000 руб., в зависимости от серьёзности обнаруженной уязвимости. В особых случаях размер награды может быть увеличен. Принять участие в программе могут хакеры из любой страны, сообщать об уязвимостях можно через форму. В течение 90 дней после отправки сообщения об уязвимости в «Яндекс» нельзя раскрывать подробности о ней кому-либо ещё, в том числе публиковать их.

Уязвимости можно искать на веб-сервисах, а также в мобильных приложениях «Яндекса» для iOS и Android, которые так или иначе работают с личной информацией пользователей. Домены веб-сервисов: .yandex.ru, .yandex.com, .yandex.com.tr, .yandex.kz, .yandex.ua, .yandex.by, .yandex.net, .yandex.st, .ya.ru, .moikrug.ru (кроме доменов сервиса «Яндекс.Народ»). Мобильные приложения: Карты, Навигатор, Музыка, Такси, Почта, Маркет, Метро, Фотки, Электрички, Диск.

Уязвимости в «критичных» сервисах оплачиваются дороже, к ним относятся Паспорт, Почта, Карты, Календарь, Мой Круг, главная страница «Яндекса», страница результатов поиска.

Классификация по OWASP Top-10 Критичные сервисы Прочие сервисы
A01. Инъекции 30000 руб. 25000 руб.
A02. Межсайтовый скриптинг – A05. Межсайтовая подделка запросов 10000 руб. 5000 руб.
A06. Ошибки конфигурации веб-окружения – A10. Открытое перенаправление 5000 руб. 3000 руб.

К критичным мобильным приложениям относятся Карты, Навигатор, Музыка, Почта, Маркет.

Классификация по OWASP Mobile Top-10 Критичные приложения Прочие приложения
M01. Небезопасное хранилище данных – M05. Недостатки в механизмах аутентификации и авторизации 10000 руб. 5000 руб.
M06. Недостатки в управлении сессией – M08. Утечка данных 5000 руб. 3000 руб.

В качестве классификации уязвимостей для веб-сервисов используется OWASP Top-10, для мобильных приложений — OWASP Mobile Top-10.

«Яндекс» уже проводил похожий «конкурс» в прошлом году, тогда в нём приняли участие около 50 человек. Сейчас программа объявлена бессрочной.

Подробнее о программе «Охота за ошибками» можно будет прочитать в журнале «Хакер» № 10/2012, для которого мы взяли интервью у главы отдела информационной безопасности «Яндекcа» — Антона Карпова.



Оставить мнение