Розповідь про роботу «хороших хлопців» у хакінгу. 

Facebook, Viber, Uber та інші IT-продукти складаються з тисяч рядків коду. Їх створюють величезні команди, тож не дивно, що хтось час від часу припускається помилок. Через такі баги програма стає вразливою для кіберзлочинців. 

Цю вразливість хакери-зловмисники можуть використати, щоб потрапити до системи. Приміром, вони отримують доступ до вашого Facebook-акаунта. Або ж роблять так, щоб онлайн-платежі перенаправлялись на рахунки зловмисників.  

Компаніям доводиться керуватись принципом «хочеш протистояти хакерам — думай, як хакер». Бізнес активно залучає до співпраці етичних хакерів, котрі шукають помилки та допомагають їх виправити — раніше, ніж про вразливість стане відомо «поганим хлопцям». 

Хто такі етичні хакери

Люди надають IT-компаніям все більше особистої інформації. І компанії повинні її оберігати. Але практично в кожній програмі є вразливості, тож ваші дані можуть опинитися у чужих руках. 

Хакери якраз і займаються пошуком таких вразливостей — багів (небезпечних помилок) у програмах, веб-сервісах чи мобільних застосунках. Хакери-злочинці продають свої знахідки на чорному ринку, використовують для шантажу чи просто самостверджуються, псуючи чужі IT-продукти. 

Читайте также: Вряд ли Apple запустит свой банковский продукт в Украине ближайшие лет пять – банкир

Етичні хакери діють відкрито, за визначеними правилами, і передають інформацію про знайдені вразливості компаніям, аби ті виправили помилки. Зазвичай компанія виплачує за це винагороду. Таку співпрацю називають «баг баунті» (bug bounty, дослівний переклад — «винагорода за баг»), а шукачів вразливостей — «баг-хантерами». 

Історія етичного хакінгу сягає 70-80-х років минулого сторіччя. Одними з перших такий підхід почали використовувати військово-повітряні сили США. На комерційні рейки етичний хакінг поставили 1995 року, коли було відкрито першу у світі bug bounty програму в компанії Netscape.  

Як компанії співпрацюють з хакерами

Бізнес або самостійно організовує програму bug bounty (як Facebook чи Google), або ж відкриває програму на спеціальній платформі, де зареєстровані тисячі етичних хакерів з різних країн.

У світі існує десяток активних bug bounty платформ, одна з яких — українська HackenProof. Принцип роботи платформ простий. Компанія розміщує інформацію про свою програму: які компоненти системи треба перевірити, яка винагорода передбачена. 

Етичний хакер повинен дотримуватись правил і досліджувати лише дозволені ділянки. Коли він знаходить баг, то надсилає звіт: описує процес злому і поради щодо виправлення. 

Звіт перевіряє спеціальна команда інженерів, і якщо вразливість підтверджується, баг-хантеру виплачують винагороду. Кожен баг має свій «рівень». Найбільше платять за критичні вразливості — ті, що дозволяють отримати доступ адміністратора і вносити будь-які зміни в систему. 

Також розмір винагороди залежить від конкретної компанії. Наприклад, одному учаснику ком’юніті корпоративний месенджер Slack заплатив за критичну вразливість $1000, Uber за такий же небезпечний баг — $3000. 

Як працюють баг-хантери 

Баг-хантери зазвичай зареєстровані одразу на кількох платформах. Шукають на кожній цікаві задачі. Учасники з високим рейтингом мають доступ до закритих програм. А ще етичні хакери час від часу їздять на профільні заходи, де змагаються у пошуку вразливостей чи просто діляться знаннями. 

Часто у етичного хакера є конкретна спеціалізація та кілька коронних технік. Хтось спеціалізується на веб-сервісах, хтось — на блокчейн-проектах і криптовалютах, хтось — на мобільних застосунках. 

Читайте также: Комфорт в цифровую эпоху: мелочи, из которых состоит жизнь

У багатьох баг-хантерів є «улюблені» баги. Лідер програми Google Play розповів, що знаходить одні і ті ж помилки у 95–98% мобільних продуктів. Кожен новий продукт він перевіряє звичними техніками — і майже гарантовано знаходить вразливість. 

Хто може стати етичним хакером 

Серед етичних хакерів є люди з дипломами програмістів або спеціалістів з кібербезпеки. Однак більшість з них стверджує, що університет дає фундамент і вміння вчитись, але це не вичерпна інформація. Знання в галузі швидко застарівають, тож доводиться весь час вивчати щось нове. 

Навчитись може кожен, головне — допитливість і готовність долати складнощі. Приміром, початківці часто знаходять дрібні баги, за які компанія не платить. Це розчаровує. Хлопці та дівчата розповідали, що втрачали мотивацію, полишали баг-хантінг, але за місяць повертались. 

Перші гонорари навряд чи будуть величезними, це теж не привід відмовлятись від кар’єри баг-хантера. Скажімо, один з членів нашого ком’юніті три роки тому починав з бага за $280 — у застосунку сервісу знайомств Badoo. Зараз він чекає на виплату $10 000 від PayPal. Ще декілька його звітів розглядаються, і гонорари можуть бути навіть вищими, бо вразливості серйозні і компанії великі. 

Життя етичного хакера: свобода і чиста совість 

На bug bounty платформах працюють фрілансери. Вони ні до чого не прив’язані: побачили цікавий проект, знайшли вразливості, отримали винагороду. Жодних контрактів та зобов’язань. 

Декому хочеться більше командної роботи, можливості навчатись у колег, кар’єрного розвитку. Такі спеціалісти зазвичай мають основну роботу. Проте вони самі часто кажуть, що пошук багів приносить більше грошей. Знаю хлопця, який пішов у bug bounty, коли вперше зібрався до США. Він хотів здійснити мрію: орендувати Ford Mustang. Все вийшло. 

Коли спілкуєшся з етичними хакерами, бачиш безліч життєвих шляхів. Приміром, у ком’юніті є хлопець, який активно брав участь в bug bounty програмі Grammarly (сервіс перевірки правопису). Він надіслав найбільше звітів і отримав персональне запрошення до команди Grammarly. А інший мріяв подорожувати, і зараз він кожні два місяці переїжджає до нової країни. 

Життя етичного хакера — це повна свобода, безліч цікавих задач, знайомства з непересічними людьми з усього світу. У цьому є та сама хакерська романтика, але без ризику бути ув’язненим на багато років. 

Підписуйся на сторінки UAINFO у Facebook, Twitter і Telegram