द स्टैंडऑफ़ में पहला हैकाथॉन कैसा था

PHDays 9 पर पहली बार किसी साइबर लड़ाई के हिस्से के रूप में गतिरोध डेवलपर्स के लिए एक हैकथॉन हुआ। जबकि रक्षकों और हमलावरों ने शहर पर नियंत्रण के लिए दो दिनों तक लड़ाई की, डेवलपर्स को पूर्व-लिखित और तैनात अनुप्रयोगों को अपडेट करना पड़ा और यह सुनिश्चित करना पड़ा कि वे हमलों की बौछार के सामने सुचारू रूप से चलें। हम आपको बताएंगे कि इसका क्या नतीजा निकला.

हैकथॉन में भाग लेने के लिए केवल उनके लेखकों द्वारा प्रस्तुत गैर-व्यावसायिक परियोजनाओं को ही स्वीकार किया गया था। हमें चार परियोजनाओं से आवेदन प्राप्त हुए, लेकिन केवल एक का चयन किया गया - बिटैप्स (bitaps.com). टीम बिटकॉइन, एथेरियम और अन्य वैकल्पिक क्रिप्टोकरेंसी के ब्लॉकचेन का विश्लेषण करती है, भुगतान की प्रक्रिया करती है और एक क्रिप्टोकरेंसी वॉलेट विकसित करती है।

प्रतियोगिता शुरू होने से कुछ दिन पहले, प्रतिभागियों को अपने एप्लिकेशन को इंस्टॉल करने के लिए गेमिंग इंफ्रास्ट्रक्चर तक रिमोट एक्सेस प्राप्त हुआ (इसे एक असुरक्षित सेगमेंट में होस्ट किया गया था)। स्टैंडऑफ़ में, हमलावरों को, आभासी शहर के बुनियादी ढांचे के अलावा, एप्लिकेशन पर हमला करना था और पाई गई कमजोरियों पर बग बाउंटी रिपोर्ट लिखनी थी। आयोजकों द्वारा त्रुटियों की उपस्थिति की पुष्टि करने के बाद, डेवलपर्स यदि चाहें तो उन्हें ठीक कर सकते हैं। सभी पुष्ट कमजोरियों के लिए, हमलावर टीम को सार्वजनिक रूप से इनाम मिला (स्टैंडऑफ़ की खेल मुद्रा), और विकास टीम पर जुर्माना लगाया गया।

इसके अलावा, प्रतियोगिता की शर्तों के अनुसार, आयोजक प्रतिभागियों को एप्लिकेशन को बेहतर बनाने के लिए कार्य निर्धारित कर सकते हैं: गलतियों के बिना नई कार्यक्षमता को लागू करना महत्वपूर्ण था जो सेवा की सुरक्षा को प्रभावित करेगा। एप्लिकेशन के हर मिनट के सही संचालन और सुधारों के कार्यान्वयन के लिए, डेवलपर्स को बहुमूल्य सार्वजनिक धन से सम्मानित किया गया। यदि प्रोजेक्ट में कोई भेद्यता पाई गई, साथ ही साथ डाउनटाइम के हर मिनट या एप्लिकेशन के गलत संचालन के लिए, उन्हें राइट-ऑफ़ कर दिया गया। हमारे रोबोटों द्वारा इसकी बारीकी से निगरानी की गई: यदि उन्हें कोई समस्या मिलती है, तो हमने बिटैप्स टीम को इसकी सूचना दी, जिससे उन्हें समस्या को ठीक करने का मौका मिला। यदि इसे समाप्त नहीं किया गया तो इससे नुकसान हुआ। जीवन में सब कुछ वैसा ही है!

प्रतियोगिता के पहले दिन, हमलावरों ने सेवा का परीक्षण किया। दिन के अंत तक, हमें एप्लिकेशन में छोटी-मोटी कमजोरियों की केवल कुछ रिपोर्टें मिलीं, जिन्हें बिटैप्स के लोगों ने तुरंत ठीक कर दिया। रात करीब 23 बजे, जब प्रतिभागी ऊबने वाले थे, तो उन्हें हमारी ओर से सॉफ्टवेयर में सुधार करने का प्रस्ताव मिला। काम आसान नहीं था. एप्लिकेशन में उपलब्ध भुगतान प्रसंस्करण के आधार पर, एक ऐसी सेवा को लागू करना आवश्यक था जो एक लिंक का उपयोग करके दो वॉलेट के बीच टोकन स्थानांतरित करने की अनुमति देगी। भुगतान भेजने वाले - सेवा का उपयोगकर्ता - को एक विशेष पृष्ठ पर राशि दर्ज करनी होगी और इस हस्तांतरण के लिए पासवर्ड बताना होगा। सिस्टम को एक अद्वितीय लिंक उत्पन्न करना होगा जो भुगतानकर्ता को भेजा जाए। प्राप्तकर्ता लिंक खोलता है, स्थानांतरण के लिए पासवर्ड दर्ज करता है और राशि प्राप्त करने के लिए अपने वॉलेट को इंगित करता है।

कार्य प्राप्त करने के बाद, लोग उत्साहित हो गए और सुबह 4 बजे तक लिंक के माध्यम से टोकन स्थानांतरित करने की सेवा तैयार हो गई। हमलावरों ने हमें इंतजार नहीं कराया और कुछ ही घंटों के भीतर बनाई गई सेवा में एक मामूली XSS भेद्यता की खोज की और हमें इसकी सूचना दी। हमने इसकी उपलब्धता की जाँच की और इसकी पुष्टि की। विकास दल ने इसे सफलतापूर्वक ठीक कर लिया।

दूसरे दिन, हैकर्स ने अपना ध्यान आभासी शहर के कार्यालय खंड पर केंद्रित किया, इसलिए एप्लिकेशन पर कोई और हमला नहीं हुआ, और डेवलपर्स आखिरकार रात की नींद से आराम कर सके।

दो दिवसीय प्रतियोगिता के अंत में, हमने बिटैप्स प्रोजेक्ट को यादगार पुरस्कारों से सम्मानित किया।
जैसा कि प्रतिभागियों ने खेल के बाद स्वीकार किया, हैकथॉन ने उन्हें एप्लिकेशन की ताकत का परीक्षण करने और इसकी उच्च स्तर की सुरक्षा की पुष्टि करने की अनुमति दी। “हैकथॉन में भाग लेना सुरक्षा के लिए आपके प्रोजेक्ट का परीक्षण करने और कोड गुणवत्ता में विशेषज्ञता हासिल करने का एक शानदार मौका है। हमें खुशी है: हम हमलावरों के हमले का विरोध करने में कामयाब रहे, - अपने इंप्रेशन साझा किए बिटैप्स डेवलपमेंट टीम के सदस्य एलेक्सी कार्पोव। - यह एक असामान्य अनुभव था, क्योंकि हमें गति के लिए तनावपूर्ण स्थिति में एप्लिकेशन को परिष्कृत करना पड़ा। आपको उच्च-गुणवत्ता वाला कोड लिखने की आवश्यकता है, और साथ ही गलतियाँ होने का जोखिम भी अधिक है। ऐसी परिस्थितियों में आप अपने सभी कौशल का उपयोग करना शुरू कर देते हैं।".

हम अगले साल फिर से हैकथॉन आयोजित करने की योजना बना रहे हैं। समाचार का पालन करें!

स्रोत: www.habr.com