Для поиска уязвимостей в софте, внесенном в реестр отечественного программного обеспечения, Минкомсвязи хочет привлечь хакеров через специальные программы bug bounty. Об этом «Известиям» рассказал замминистра связи Алексей Соколов.
Как правило, на сайтах, работающих по программе bug bounty, компании-разработчики выкладывают информацию о том, за какие найденные уязвимости сколько денег они готовы заплатить. Так называемые белые хакеры проверяют софт или сайты на разные уязвимости, и если находят, то через специальную форму рассказывают о том, что это за уязвимость, и описывают порядок действий, которые нужно проделать разработчику, чтобы ее воспроизвести. Если информация подтверждается, то хакеру выплачивается вознаграждение,
Системы поиска уязвимостей bug bounty пользуются большой популярностью среди российских IT-компаний. Например, ряд сервисов Mail.Ru Group и соцсеть «ВКонтакте» используют популярную международную систему HackerOne. Сумма выплачиваемых вознаграждений имеет весьма большой диапазон — от сотен долларов до нескольких тысяч в зависимости от найденной уязвимости.
"Одним из перспективных направлений деятельности государства в области информационной безопасности должна стать координация разработки рекомендаций в сфере безопасности и регламентов тестирования методов реагирования на киберугрозы, в том числе с возможностью внедрения программ поиска уязвимостей bug bounty, — заявил Соколов. — Мы прорабатываем возможность использования этого международного принципа как для продуктов, включенных в реестр отечественного ПО, так и для иных объектов, используемых, например, в АСУ ТП (автоматизированная система управления технологическим процессом. — «Известия») и иных критически важных инфраструктурах".
В пресс-службе Минкомсвязи пояснили, что возможность применения этого принципа обсуждается министерством с отраслевым сообществом.
"Это и разработчики ПО, и их отраслевые ассоциации. Инициатива также поддерживается рядом крупных компаний с государственным участием и частного сектора, — отмечают в пресс-службе Минкомсвязи. — Использование системы грантов для частных лиц и организаций для стимулирования исследований в области обнаружения уязвимостей, по мировому опыту, является эффективной дополнительной мерой по обеспечению информационной безопасности программных продуктов. Расходование средств федерального бюджета на данные цели, а также привлечение иных государственных ресурсов не планируются".
В марте глава Минкомсвязи Николай Никифоров направлял государственным и муниципальным заказчикам письмо с разъяснением о применении реестра российского ПО в части соблюдения требований по защите информации. В нем говорилось о том, что при внедрении государственных информационных систем государственным и муниципальным заказчикам необходимо самостоятельно принять решения по установлению требований по защите информации.
"Основная проблема заключается в том, что для российского рынка ПО долгое время было характерно «наплевательское» отношение к качеству программного кода, — говорит директор по методологии и стандартизации Positive Technologies Дмитрий Кузнецов. — Ситуация начала меняться в банковской сфере, когда ежегодные потери от хакерских атак стали исчисляться миллиардами рублей. Но в остальных областях ситуация остается плачевной. Изменить ее могут процессы импортозамещения, при которых разработчики заинтересованы в том, чтобы их программные средства находились в реестре отечественного ПО. Например, если у разработчиков среди прочих требований появится обязанность демонстрировать качество своих разработок с помощью таких вот программ bug bounty".
Проведение программы bug bounty связано с определенными техническими и организационными трудностями. Например, разработчик не всегда может выложить дистрибутив программы для исследования: нужно создавать физические или виртуальные стенды и регулировать доступ к ним.
"Кроме того, необходимо как-то оценивать результаты, так как сообщения об уязвимостях не всегда достоверны, а некоторые достоверные сообщения об уязвимостях разработчик не может воспроизвести из-за отсутствия нужной квалификации у своих специалистов, — говорит Кузнецов. — Таких сложностей достаточно много, и проведение программ bug bounty сегодня является прерогативой крупных компаний-разработчиков. Ситуацию можно изменить, если объединить усилия крупных заинтересованных потребителей, например тех же банков, естественных монополий, а также самих разработчиков, других заинтересованных лиц, и создать единую площадку для проведения таких исследований".
По словам главы компании ALT Linux Алексея Смирнова, реестр отечественного ПО был создан для того, чтобы был простой способ отличить отечественный софт от неотечественного, но нахождение в реестре не говорит о качестве программного кода.
"В реестре есть программы, предназначенные не только для органов власти. Например, там есть учебная программа для школ «География, 7-й класс», и проверять ее через подобные системы было бы нелепо, — говорит Смирнов. — Если софт должен иметь определенную степень защиты, то это должно быть указано при закупках".
В США разбираются с утверждениями о том, что сотрудники и подрядчики Meta (корпорация признана экстремистской и запрещена в России) могли иметь доступ к сообщениям пользователей WhatsApp, несмотря на публичные заявления компании о полной приватности и сквозном шифровании чатов.
Об этом сообщает Bloomberg со ссылкой на документы и показания бывших подрядчиков корпорации.
По данным издания, обвинения исходят от экс-подрядчиков Meta, которые заявляют о «неограниченном» доступе к переписке в WhatsApp. Эти утверждения изучали специальные агенты Министерства торговли США. Похожие жалобы, как отмечает Bloomberg, уже фигурировали в обращении в Комиссию по ценным бумагам и биржам США (SEC) ещё в 2024 году.
В частности, двое бывших модераторов контента WhatsApp рассказали агентам Бюро промышленности и безопасности (BIS), что некоторые сотрудники Meta могли просматривать содержимое чатов. Оба работали по контракту с консалтинговой компанией Accenture. По их словам, доступ к переписке был не только у отдельных сотрудников Meta, но и у части подрядчиков. «Оба источника подтвердили, что в их офисах работали сотрудники с неограниченным доступом к WhatsApp», — говорится в отчёте одного из агентов.
При этом в самом BIS поспешили дистанцироваться от этих заявлений. В бюро подчеркнули, что слова агента о методах шифрования WhatsApp «необоснованны и выходят за рамки его полномочий». Представитель BIS Лорен Вебер Холли также заявила, что ведомство не ведёт расследование в отношении WhatsApp или Meta по факту нарушений экспортного законодательства.
Один из подрядчиков Accenture, Ларкин Фордайс, подтвердил Bloomberg, что модераторам действительно предоставлялся собственный доступ к WhatsApp, а до этого они могли запрашивать доступ к переписке через внутренние процедуры. По его словам, он несколько раз давал показания агентам именно по поводу своей работы в Meta. Фордайс отметил, что работал по контракту до 2022 года и счёл важным поделиться имеющейся у него информацией с властями США.
Напомним, в США подали коллективный иск против Meta: корпорация обвиняют в том, что она вводит пользователей в заблуждение, рассказывая о конфиденциальности и безопасности переписок в WhatsApp. Сама Meta ранее неоднократно заявляла, что сообщения в WhatsApp защищены сквозным шифрованием и недоступны для чтения сотрудниками компании.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
