За взлом приложения «Дія» заплатят миллион гривен – как получить деньги

В Украине запустился второй этап программы Bug Bounty "Дії". Это челлендж для "этических взломщиков" со всего мира, которые должны обнаружить баги в государственном приложении. Попробовать свои силы может любой хакер с разным уровнем квалификации и опыта. Общий призовой фонд – 1 миллион гривен (35 тысяч долларов).

О старте второго этапа программы объявили министр цифровой трансформации Михаил Федоров и директор проекта USAID "Кибербезопасность критически важной инфраструктуры Украины" Тимоти Дюбель.

"Мы понимаем, что невозможно выстроить суперзащиту один раз и быть уверенным, что никто не сможет ее взломать. Вопрос киберзащиты нуждается в постоянном обновлении решений. Именно это мы и делаем, во второй раз запуская багбаунти "Дії", и даем возможность каждому протестировать защищенность приложений и убедиться, что цифровые документы и сервисы – это безопасно. Мы делаем все для того, чтобы защитить государственные сервисы и выстроить доверие украинцев к ним", – отметил Федоров.

Сколько и за что заплатят

Размер вознаграждения будет зависеть от "значимости и уровня сложности уязвимости":

• 1 уровень сложности: от 4100 до 4500 долларов;
• 2 уровень сложности: от 1500 до 1750 долларов;
• 3 уровень сложности: от 600 до 850 долларов;
• 4 уровень сложности: от 200 до 250 долларов.

Что нового

Конкурс для так называемых "белых хакеров" уже проходил в декабре 2020-го года. В прошлый раз время на взлом было ограничено всего неделей. На этот раз этап продлится полгода или закончится тогда, когда иссякнет призовой фонд.

Кроме того, теперь в конкурсе сможет поучаствовать каждый, независимо от опыта и квалификации. Конкурс проходит на платформе Bugcrowd. Зарегистрироваться участникам можно по этой ссылке.

То есть "белые хакеры" будут использовать не действующее приложение, а специально созданную отдельную среду – копию "Дії". У взломщиков не будет доступа к внешним информационным системам: госреестрам, банковским системам (регистрация в приложении происходит через BankID) и информационным системам вендоров (функционал для шеринга документов).

Что дальше

Найденные уязвимости проанализирует команда специалистов Минцифры. Все найденные "баги" нейтрализуют, а систему защиты максимально усилят.

"Проект также активно сотрудничает с рядом других стейкхолдеров для усиления киберстойкости Украины. У нас налаженные партнерские связи с представителями украинского бизнеса и профильных ЗВО для развития кадрового потенциала и частного сектора для защиты критически важной инфраструктуры", – пояснил Тимоти Дюбель.

Кстати, в декабре хакеры не смогли взломать приложение "Дія" и обнаружили в нем лишь два небольших изъяна, за что заработали всего по 250 долларов призовых.

Реализация Bug Bounty проходит при поддержке международной платформы Bugcrowd и проекта агентства по международному развитию США (USAID) "Кибербезопасность критически важной инфраструктуры Украины".