Tas ir 2018. gada notikums. Kādu jūs tur gribat skaidrojumu? Tad vēl nebija ne https://cvd.cert.lv/programs/all , ne citu dažādu iniciatīvu. CSDD sistēmas kopš tā laika ir pentestētas ļoti regulāri. Arī ISO 27001 viņi ir ieviesuši.  Rakstā minētā terminoloģija ir žurnālistu vienkāršošanas procesu izgājusi. Ir cilvēki, kuriem jebkurš ar IT saistīts amats ir programmētājs.  Tas ka šeit daži attention whores mēģina uz šī vecā notikuma atkal sev pievērst uzmanību, nu kāpēc jums ir tiem deģiem jāpavelkas? 

Ja tur ir analogais 8, tad jau firewire nederēs, ne? 

Atļaušos nepiekrist.   Tāpat arī gadās, ka tas, kurš kaut kādu sistēmas daļu ir izstrādājis, pēc mēneša, diviem vai gada pēkšņi saprot, ka tā konkrētā sistēmas daļa kaut kādos īptanējos apstākļos, kuri var iestāties "reizi 10 gados", nestrādās gluži tā kā vajadzētu.

Rakstā ir minēts Raimonds Skuruls, mazliet pazīstu Kasparu Līci, bet WTF ir Pāvels? 🤔   Šī gdījuma kontekstā prasītos CERTa skaidrojums, jo nupat Saeimā ir apstiprināts Nacionālās kiberdrošības likums, kurā ir VI nodaļa par koordinētu ievainojamību atklāšanu un novēršanu.

Normāli par šādu gadījumu būtu ziņot CERT. Bet, protams, ar visām pieejamajām detaļām un bez kaut kādiem nosacījumiem. "Tev ir caurums, neesmu mēģinājis, bet man čista liekas, ka ir; samaksā - pateikšu" ir izspiešana. Starp citu, CSDD lietošanas noteikumos nav ne vārda par to, ka lapu nedrīkst apstrādāt ar automatizētām programmām (jo citādi būtu, piemēram, pret numuru rezervēšanas botiem jācīnās).

Nav hakerim samaksāts - slikti  Būtu apmaksāts un nāktu gaismā, tāpat te vaimanātu par valsts līdzekļu izšķērdēšanu. Nekad nebūs labi dažam šeit 

...bet problēmas ta nebija.

Nu kāda CSSD bēda, ir problēma - atrisiniet. Vai tur maksā kādam citam, vai paši atrod, pilnīgi neinteresē.

un samaziniet jumta līguma atlikušo summu - jā, kā tad

Skaidrs ka tie programmētāji, kas to siztēmu izstrādāja caurumu neatrada, savādāk viņš tur nebūtu pirmām kārtām. Tā tas programmēšanā ir ir bieži, ka var mēnešiem skatīties uz kautko un neredzēt problēmu (jeb mēgināt atrast kas izraisa bagu), kamēr atnāk kāds cits no malas ar skatu no savādāka lenķa un atrod uzreiz. Nu nesaki 'šitam maksāt'. Atved cilvēku un pasaki ka iespējams sistēmā ir problēma un šis kadrs zin kur tā varētu būt. Atrodiet problēmu, salabojiet un vienojieties savā starpā cik tas maksā.

Jā, nē, iespējams. Atkarīgs no līguma, NDA, utt. Bet, ja CSDD atved cilvēku un saka - šitam maksāt, tad tā jau vairs nav tik vienkārša shēma.

Nu nebija tur cauruma, kuru viņš spētu uzrādīt. Pazīstu es Pāvelu un zinu šo gadījumu 

Bet programmētāji ta neatrada.

Kā nav iekļauts? Sistēmas testēšana/QA un pēctam labošana. Ja ir līgums par uzturēšanu, tad tas pats par sevi saprotams ka ietilpst līgumā. Tas ko kampānija maksā apakš-kotraktoriem, tā nav CSDD darīšana.

Baltais hakeris ir balts un pūkains, salīdzinot ar datu valsts inspekciju, ja nu tomēr noplūde panesās.

Neko skaidru es tur neredzu. Cilvēks atrod problēmu, informē resursa īpašnieku, bet par to grib samaksu. Viss godīgi. Ja pat ne-drošības speciālists tādu atrada, tad kaimiņu hakeri atrastu to ātri vien. Visi šinī gadījumā ieguvēji. Vai vajadzēja klusēt un atstāt kā ir? (pietam rezultātā paši darbinieki vēl tur atrada papildus caurumus)

Koruptīva shēma, kuru būtu jāizmeklē prokuratūrai. Nevar maksāt par pakalpojumiem, kas nav iekļauti jumta līgumā. Citādi, uztaisi iepirkumu par vajadzīgo summu X+20%, firma uzvar, un tad saņem rēķinu no cita uzņēmuma par tiem 20%. Tā nevar.

Beidziet lūdzu teoretizēt. Diskusijas par to ko darīt ja zvana "baltais hakeris" un piedāvā samaksāt prēmiju ir bijušas un instrukcijas šādai situācijai vienmēr ir skaidras - izturieties pret to kā par krāpšanu ( pat ja nav ) un nemaksāt!   Kā vajadzēja rīkoties - noreportēt bagu par velti. Mans drošības dienesta kolēģis tā sev ieguva labi apmaksātu darbu un rezultātā nopelnīja daudz vairāk kā 1000 labas algas. Jā tā nav tieša peļņā, bet iegūstot reputāciju tas var kļūt par nesliktu ienākumu avotu. Ja gribas ar to visu nodarboties ir bounty programmas galu galā.+

Kautkā gan neizklausās ka tur 'nekāds' caurums nav bijis.   Pēc nedēļas darba viena ievainojamība tikusi atklāta, tikai CSDD speciālistiem nebijis skaidrs, vai tā ir tā pati, par kuru brīdināja Skuruls. Kā vēlāk izrādījās, tas bijis cits CSDD informācijas sistēmas defekts, bet savā ziņā līdzīgs, jo vienotās pieteikšanās modulī pastāvējusi iespēja autorizēties ar citas personas identitāti.

Reāli čalis pēc tam, kad šie pat sazīmēja līgumu, nekādu caurumu uzrādīt nespēja. Tikai tāpēc tā lieta tika ierosināta. Jo viņš izčakarēja lērumu cilvēku, kuri bija tam piegājuši samērā nopietni un gatavi izdarīt visu, lai novērstu problēmu.