Czy w Polsce można żyć ze znajdowania błędów w systemach?

Godzina pracy. Sześć luk. Pięć tysięcy dolarów. Użyłem Google'a.

Maciej Pulikowski zaprzecza, że ​​​​jest hakerem. W tym przypadku jest to konieczne, aby udostępnić aplikację .NET, ale można ją otworzyć z aplikacji internetowej, ale można również uzyskać dostęp do aplikacji .NET. Teraz możesz pobrać program 2020 roku, możesz pobrać Chrome i możesz pobrać muzykę. Koniecznie, że tak nie jest. Potem jeszcze raz. Jeszcze raz. W ciągu godziny miał sześć gotowych raportów o podatnościach.

Teraz możesz korzystać z Google, aby uzyskać dostęp do narzędzi. Rok później, za siódmą lukę — kolejne podsumowanie tysiąca. Łącznie z rozwiązaniem w silniku Chrom zarobił ponad sto tysięcy złotych. W historii publikacji napisz do neego rekruterów z Google, Amazon i Netflixa. Jesteśmy teraz CISO Google DeepMind.

Pulikowski jest jednym z Polaków, którzy naprawdę zaistnieją w świecie bug bounty. Naprawdę — bo ci, którzy uznają, że to zajęcie proste i dostępne dla każdego, albo kłamią, albo nie mają pojęcia, o czym mówią.

Otóż, to co jest, to jest naprzemienne.

Gdy uruchomił się program, firma, która jest zła — haker, programista, analityk — szuka błędów w swoich użytkownikach. Patrzę na zigłoszone podatności płatności, których wysokość zależy od tego, jak urządzenie jest luka. Drobny może błąd być wart w Australii. Krytyczna podatność przekazywana przez konto lub wstrzyknięcie szyfrującego kodu — przesyłanego przez skrót.

Pomysł sprzeciwu, że​​jest nowy. Pierwszy program Bug Bounty został uruchomiony Netscape w 1995 roku, kiedy twórcy zabezpieczeń po prostu nie mieli żadnych ludzi ani pieniędzy na uruchomienie testów bezpieczeństwa. Skorzystaj z pomocy społeczności. Możesz otrzymać Mozilli, w tym Google, Facebook, Microsoft, Apple, Amazon. Dziś programy bug bounty prowadzą firmy — od startupów po rządach państw. Pentagon swój swój w 2016 roku pod hasłem „Hack the Pentagon”. Exploit Apple My Million Dollar, który pozwala iPhone'owi na interakcję z użytkownikiem.

Globalna platforma hakerska Najlepsi łowcy zarabiają regularnie ponad sto tysięcy dolarów. Absolutna czołówka przekracza trzysta tysięcy. Są tacy, którzy przekroczyli milion — łącznie.

Brzmi jak historia o tym, że wystarczy umieć „hakować” i żyć jak król. Rzeczywistość jest bardziej złożona.

Polska scena: mała, niszowa i niewidoczna

Nieoficjalnych szacunków przytaczanych przez środowisko skupione wokół portalu Sekurak, w Polsce jest mniej niż, o czym mówią ludzie, którzy popełniają błąd, który nie jest zduplikowany i jest na tyle, aby otrzymać nagrodę. Sto osób w kraju czterdziestu milionów.

To nie jest efekt braku talentów. Polski rynek cyberbezpieczeństwa jest wart ponad cztery miliardy złotych i rośnie w tempie kilkunastu procent rocznie. Luka kadrowa w sektorze szacowana jest na ponad piętnaście tysięcy nieobsadzonych stanowisk. Polscy specjaliści są cenieni za granicą — jak zauważył Stefan Kotański z Iron Mountain, nasi rodacy wyróżniają się na tle Europy wszechstronnością i szeroką wiedzą z wielu dziedzin IT. Zagraniczne firmy aktywnie ich rekrutują.

Problem leży gdzie indziej. Bug bounty to gra dla cierpliwych i wyspecjalizowanych — i większość Polaków z umiejętnościami, które pozwoliłyby im w niej wygrywać, woli grać na bezpieczniejszym polu.

Stabilna etatowa posada kontra nieprzewidywalna nagroda

Seniorski pentester w Polsce zarabia na kontrakcie B2B od dwudziestu pięciu do trzydziestu pięciu tysięcy złotych netto miesięcznie. Cybersecurity Architect — od trzydziestu do czterdziestu pięciu tysięcy. CISO w dużym banku może wyciągnąć siedemdziesiąt tysięcy brutto.

Bug bounty nie daje żadnej gwarancji. Możesz spędzić tydzień na szukaniu luki, znaleźć coś, co uważasz za poważne, i dostać odmowę — bo ktoś inny zgłosił to samo trzydzieści minut przed tobą. Możesz dostać informację, że błąd jest „poza zakresem programu". Możesz dostać nagrodę niższą niż oczekiwałeś, bo firma jednostronnie wyceniła podatność niżej.

To nie jest zarzut wobec samego modelu. To po prostu jego natura. Dla kogoś, kto może stabilnie zarabiać jako etatowy specjalista ds. bezpieczeństwa, bug bounty często wygląda jak hazard z niskim oczekiwanym zwrotem — szczególnie na początku drogi.

Maciej Pulikowski mówi wprost: traktuje to jako hobby. Nagrody z bug bounty są dla niego premią, nie pensją. I to jest uczciwa odpowiedź na pytanie, jak zarabia się na znajdowaniu dziur — przynajmniej w Polsce, przynajmniej na razie.

Polskie firmy: za mało, za późno, za skąpo

Jest jeszcze drugi problem, rzadko wymieniany: polskie firmy same w sobie są słabym celem dla łowców błędów.

Bug bounty hunterskontratakują nie tylko za pieniądze — atakują też tam, gdzie jest szansa wygranej. Programy Google, Microsoftu czy Facebooka mają setki milionów użytkowników, złożone systemy z latami niezewidencjonowanego kodu i naprawdę duże nagrody. Polska firma z programem płacącym do tysiąca dolarów za krytyczną lukę? Musi konkurować o uwagę badacza ze wszystkimi innymi programami na świecie.

Allegro jako pierwszy duży polski podmiot uruchomiło publiczny program bug bounty w 2019 roku, po roku prowadzenia go w wersji zamkniętej. Wypłaca nagrody od stu do czterech tysięcy euro. To uczciwa kwota — ale nadal fragment tego, co oferuje globalna czołówka.

Sytuacja jest tym bardziej kuriozalna, że Orange Polska — jeden z największych polskich operatorów telekomunikacyjnych — wprost deklaruje na swojej stronie, że nie prowadzi programu bug bounty w rozumieniu finansowym. Przyjmuje zgłoszenia podatności, ale nie płaci za nie. Wymagają, żeby badacz przestrzegał ich zasad, nie wpływał na działanie systemów, nie zbierał danych — a w zamian oferują... brak rekompensaty.

To modelowy przykład tego, dlaczego polskie firmy przegrywają wojnę o uwagę najlepszych łowców błędów.

Prawo, które nie ułatwia życia

Jest jeszcze jeden specyficznie polski problem: otoczenie prawne.

Kodeks karny w art. 267 i 269b penalizuje nieuprawniony dostęp do systemów informatycznych. Problem polega na tym, że granica między „nieuprawnionym" a „testowym" jest w Polsce wyjątkowo niejasna — szczególnie przy braku formalnej umowy lub jasno określonego zakresu programu. Środowisko skupione wokół Niebezpiecznika i Sekuraka latami postulowało zmiany, które stworzyłyby bezpieczną przestrzeń prawną w której etycznych haker do wynajęcia może działać w dobrej wierze.

W praktyce oznacza to, że uczciwy badacz, który znajdzie lukę w systemie polskiej firmy, musi działać z dużą ostrożnością. Nawet jeśli firma prowadzi program bug bounty, zakres ochrony prawnej jest znacznie mniej oczywisty niż w USA, gdzie istnieje wyraźne orzecznictwo i lepiej wypracowane standardy branżowe.

Dla kogoś rozważającego bug bounty jako pełnoetatowe zajęcie to dodatkowy hamulec. Nie przeszkoda nie do pokonania — ale coś, co podnosi poprzeczkę wejścia.

Kim jest przeciętny polski bug bounty hunter?

Jeśli w ogóle można mówić o przeciętnej, to jest nią ktoś, kto: ma głęboką wiedzę techniczną (często jako programista, sysadmin lub pentester), traktuje bug bounty jako aktywność poboczną, poluje głównie na programy zagranicznych firm w ramach HackerOne, Bugcrowd lub europejskiej Intigriti i traktuje nagrody jako dodatkowy dochód, a nie podstawę utrzymania.

Intigriti, belgijska platforma będąca europejską alternatywą dla HackerOne, jest coraz popularniejszym wyborem dla polskich badaczy — jej scope dokumenty są czytelniejsze, feedback szybszy, a całość działa ze świadomością europejskiego prawa. Coraz więcej polskich hakerów wybiera ją jako pierwsze miejsce startu.

Na platformach bug bounty liczy się nie tylko znalezienie luki — równie ważne jest umiejętne napisanie raportu. Dobry raport zawiera opis podatności, kroki reprodukcji, dowód koncepcji (Proof of Concept), często w postaci kodu lub nagrania wideo, oraz ocenę wpływu. Bez tego nawet poważna luka może zostać odrzucona lub nisko wyceniona.

Godzina, która zmieniła karierę

Wróćmy do Pulikowskiego. Cztery lata temu nie miał żadnego doświadczenia z bug bounty. Miał za to głęboki szacunek do kodu i nawyk patrzenia na nowe funkcjonalności z pytaniem: „co może pójść nie tak?"

Jeśli korzystasz z Chrome, nie będziesz musiał się tym martwić, ale będziesz musiał z niego korzystać przez długi czas. Musiał być rozumiany, jak działa File System Access API — zapewnia, że ​​​ograniczenie, które podlega tam byciu, postu nie podlega wyłączeniu. Żeńscy użytkownicy myślący, pobierający zdjęcie z obliczeń .jpg, kontrolowani w rzeczywistości wirtualnej.

Na początek możesz wyszukać swoją witrynę w Google Views i sprawdzić, czy jest ona popularna.

Teraz nie wiem co zrobić, ale to nie działa automatycznie.

Czy to w opłacalny zawód?

Uczciwa odpowiedź brzmi: dla bardzo użytkowej — tak. Dla podlegającej grupie zainteresowanej — jako podstawa, zastosowanie jako podstawa.

Jeśli nie ma odpowiedzi na błąd, możesz znaleźć rozwiązanie za błąd. Zdecydowana większość z nich pochodzi z innych źródeł kosztów życia — Indii, Bangladeszu, Egiptu — gdzie nagroda tysiąca dolarów ma innego siłę nabywczą niż w Warszawie. Albo z krajów, których funkcje cybernetyczne nie zapewniają dostępu do czatów, jak w Polsce.

Dla polskiego, specjalistycznego, często nie wychodzi. Senior pentester z certyfikatem OSCP, praktykujący na B2B, zarabiający więcej, bezpieczny i ze względu na innych stresów niż większość łowców błędów operujących bez etatowego zaplecza.

Bug bounty to rozwiązanie rozwiązania reputacji, zdobycia praktycznego doświadczenia i — jak w przypadku Pulikowskiego — otwierania drzwi, o których nawet się nie wiedziało.

W Polsce ten rynek dopiero dojrzewa. Firmy ukryte, że płacenie za błędy jest inne niż przątanie po cyberataku. Badacze rozumieją, że profesjonalny raport jest równie ważny jak znamienna podatność. Prawo powolne — bardzo powoli — rozszerzeniu się.

Tymczasem nieliczni, którzy myślą, gdzie szukać i jak napisać, powstają zgarniają nagrody, podczas gdy pozostałe nie są jeszcze sprawami, że gra toczy się obok nich.