VK выплатила баг-хантерам 3 миллиона рублей за найденные уязвимости

VK выплатила баг-хантерам 3 миллиона рублей за найденные уязвимости

VK выплатила баг-хантерам 3 миллиона рублей за найденные уязвимости

За три месяца VK получила 300 отчетов об уязвимостях, поданных в рамках ее программы bug bounty. Более половины сообщений признаны существенными, выявленные уязвимости уже устранены.

Открытая программа по поиску уязвимостей в продуктах VK размещена на платформе Standoff 365 Bug Bounty разработки Positive Technologies. На настоящий момент вознаграждения от VK получили более 50 сторонних исследователей — в размере от 3 тыс. до 750 тыс. рублей. Общая сумма выплат за баги, найденные в продуктах ИТ-компании, составила 3 миллиона.

«Мы разместили нашу программу по поиску уязвимостей на Standoff 365 три месяца назад и уже видим положительные результаты ее работы, — комментирует Алексей Волков, вице-президент VK, курирующий направление ИБ. — За это время внешние эксперты помогли нам усовершенствовать и усилить защиту наших сервисов. VK стремится предоставить комфортные условия для пользователей, обеспечение сохранности и конфиденциальности их данных — наш приоритет. Помимо создания собственных технологических решений мы продолжим сотрудничество с ведущими российскими ИТ-компаниями, чтобы наши продукты были максимально безопасными».

Платформа-агрегатор Standoff 365 Bug Bounty, позволяющая упростить сбор отчетов по уязвимостям и установить правила игры для белых хакеров, была запущена в мае этого года. Среди участников проекта, кроме VK и самой PT, числятся «Азбука вкуса», Skillbox, GeekBrains, а с прошлого месяца — также Rambler.

Компания VK присоединилась к этому сообществу в августе, предоставив баг-хантерам для пробы 12 сервисов. За три месяца число испытуемых продуктов ИТ-компании возросло до 19, но VK не планирует на этом останавливаться и обещает расширить ассортимент более чем на 20%.

На российском рынке помимо Standoff 365 Bug Bounty представлены две аналогичных платформы — BugBounty.ru и BI.ZONE Bug Bounty, запущенная в конце августа. Такие инициативы помогают белым хакерам заработать, невзирая на отсутствие правовой базы для такой деятельности в России. В отечественном законодательстве понятия bug bounty до сих пор нет, и Минцифры, по слухам, собирается восполнить этот пробел.

Яндекс Pay перестал работать у части пользователей IPv6

Пользователи начали замечать странное поведение приложения Яндекс Pay — оно может отказывать в работе тем, кто выходит в интернет через IPv6, особенно если используется 6in4-туннель (например, Hurricane Electric).

На проблему обратил внимание пользователь «Хабра» с ником po3dno. По его словам, это проявляется следующим образом: если открыть pay.yandex.ru в браузере, сервис работает нормально: определяется IPv4-адрес, и личный кабинет доступен без ограничений.

А вот в мобильном приложении ситуация другая. Оно, как утверждается, делает запросы по IPv6, определяет адрес как «не российский» — и на этом всё: доступ блокируется.

Получается парадоксальная ситуация: один и тот же пользователь с одного устройства может пользоваться сервисом через браузер, но не может через официальное приложение.

Судя по описанию, проблема связана именно с особенностями определения геолокации по IPv6. В случае с туннелями вроде 6in4 трафик может выходить через зарубежные точки, из-за чего сервис воспринимает пользователя как находящегося вне России.

Официальных комментариев от Яндекса на момент появления жалоб не было. Пока же для пользователей с IPv6 единственным рабочим вариантом остаётся доступ через браузер либо отключение туннеля.

Напомним, вчера мы писали, что у части российских пользователей с включёнными средствами обхода блокировок (VPN) перестали частично открываться или вовсе работать сайты и приложения крупных российских платформ, включая «Яндекс», VK, маркетплейсы и банковские сервисы.

RSS: Новости на портале Anti-Malware.ru