Владимир Дубровин, руководитель группы тестирования Mail.Ru Group, Тарас Иващенко, руководитель группы продуктовой безопасности Яндекса, и Илья Агеев, QA Lead, Badoo, поделятся опытом проведения программы bugbounty, расскажут о том, какие шишки набили при запуске и чего удалось достичь в результате, а также разберут пару-тройку наиболее интересных уязвимостей.

1. Bounty-программа в Badoo
сказ о том, как хакеры нас на уязвимости
проверяли
Илья Агеев #SecurityMeetUp

2. Кто мы?
- соцсеть для новых знакомств
- > 220М пользователей
- ~ 50 языков
- ~ 3000 серверов
- > 100 разработчиков
- > 30 тестировщиков

4. Безопасность - часть процесса
- Системные администраторы
- Разработчики
- Тестировщики
- Автоматические инструменты
- Сторонние аудиторы (PCI DSS)
- Инфраструктура, архитектура, культура работы и
взаимодействия

5. - Системные администраторы
- Разработчики
- Тестировщики
- Автоматические инструменты
- Сторонние аудиторы (PCI DSS)
- Инфраструктура, архитектура, культура работы и
взаимодействия
Безопасность - часть процесса
Специалисты-волонтеры

6. Подготовка
- Ресерч
- Инфраструктура
- Анти-XSS
- Внутренний аудит
- Инструменты для
обработки заявок

8. Как мы присуждаем категории
- 5 категорий, в зависимости от
потенциального ущерба
- Супер-премия выше £2000

9. 1й этап - месячник безопасности
- ~ 500 заявок с потенциальными угрозами
- ~ 50 дубликатов
- ~ 150 багов / улучшений / пожеланий
- > 50 уязвимостей безопасности
- > половины уязвимостей - CSRF

10. Типы уязвимостей

11. Распределение заявок

12. Интересные баги
Уязвимость в обработке количества Badoo-кредитов при покупке (BSI-13)
Автор: Asd
Категория: 5
Misconfiguration при изменении данных профиля (BSI-12)
Автор: whitebureau
Категория: 5
CSRF и привязка внешнего аккаунта социальных сетей (BSI-44)
Автор: chipik
Категория: 4

13. Что сделали?
- Научились реагировать в течении
нескольких часов
- Проект по Анти-CSRF
- Пофиксили баги :)

14. Дальнейшие шаги
- Поняли что это хорошо
- Другой формат - постоянная программа
- Повторный ресерч
- Улучшили инструментарий

15. Флоу обработки в google-groups
email
form
Jury Development
Dev
Rel

16. Флоу обработки в JIRA
email
form
JIRA Jury Development
validation,
auto-emails

17. 2-й этап - постоянная программа
- Добавили мобильные приложения и
мобильный веб
- Наша программа попала в bugcrowd

18. 2-й этап - постоянная программа
- ~ 870 заявок за год
- ~ 50 уязвимостей безопасности
- > 30 дубликатов
- > 20 багов в мобайле

19. Распределение заявок

20. Интересные баги
Уязвимость в обработке comet (BSI-329)
Автор: maxxarts
Категория: Специальная премия
Выполнение произвольного кода в Android-приложении (addJavascriptInterface) (BSI-
601)
Автор: secure.doggy.lin
Категория: 2
Чтение произвольных файлов Android-приложения (BSI-600)
Автор: secure.doggy.lin
Категория: 2

21. Выводы
- Узнали о багах, о которых не знали бы
без программы
- На постоянной основе имеем
незамыленный взгляд на баги
- У краткосрочной программы другой
эффект

22. Идеи на будущее
- Краткосрочные конкурсы для конкретных
платформ (мобайл)
- Англоязычная/мультиязычная программа

23. Вопросы?
http://corp.badoo.com/security
email: i.ageev@corp.badoo.com
habr: http://habrahabr.ru/company/badoo/blog/
facebook: https://www.facebook.com/BadooMoscow
twitter: https://twitter.com/BadooDev