PHDays 9-да кибер шайқастың бөлігі ретінде алғаш рет Әзірлеушілерге арналған хакатон өтті. Қорғаушылар мен шабуылдаушылар қаланы бақылау үшін екі күн бойы шайқасып жатқанда, әзірлеушілер алдын ала жазылған және орналастырылған қолданбаларды жаңартып, шабуылдар толып жатқанда олардың бірқалыпты жұмыс істеуін қамтамасыз ету керек болды. Бұдан не шыққанын айтамыз.
Хакатонға қатысуға олардың авторлары ұсынған коммерциялық емес жобалар ғана қабылданды. Біз төрт жобадан өтінім алдық, бірақ тек біреуі таңдалды - bitaps (). Команда Bitcoin, Ethereum және басқа балама криптовалюталардың блокчейнін талдайды, төлемдерді өңдейді және криптовалюта әмиянын әзірлейді.
Байқаудың басталуына бірнеше күн қалғанда қатысушылар өздерінің қосымшасын орнату үшін ойын инфрақұрылымына қашықтан қол жеткізу мүмкіндігін алды (ол қорғалмаған сегментте орналастырылды). The Standoff-та шабуылдаушылар виртуалды қаланың инфрақұрылымынан басқа қолданбаға шабуыл жасап, табылған осалдықтар бойынша қателер туралы есептерді жазуға мәжбүр болды. Ұйымдастырушылар қателердің бар екенін растағаннан кейін, әзірлеушілер қаласа, оларды түзете алады. Барлық расталған осалдықтар үшін шабуыл жасайтын команда көпшілік алдында сыйақы алды (The Standoff ойын валютасы), әзірлеушілер тобына айыппұл салынды.
Сондай-ақ, байқау шарттарына сәйкес, ұйымдастырушылар қатысушыларға қосымшаны жақсарту бойынша міндеттер қоя алады: қызмет қауіпсіздігіне әсер ететін қателіктер жібермей, жаңа функционалдылықты енгізу маңызды болды. Қолданбаның әр минуты дұрыс жұмыс істегені және жақсартуларды жүзеге асырғаны үшін әзірлеушілер бағалы мемлекеттік қаражаттармен марапатталды. Егер жобада осалдық табылса, сондай-ақ қолданбаның тоқтап қалуының әрбір минуты немесе дұрыс жұмыс істемеуі үшін олар есептен шығарылды. Мұны біздің роботтар мұқият бақылап отырды: егер олар ақаулық тапса, біз бұл туралы bitaps командасына хабарлап, оларға мәселені шешуге мүмкіндік бердік. Егер ол жойылмаса, ол шығынға әкелді. Барлығы өмірдегідей!
Жарыстың бірінші күні шабуылшылар қызметті сынап көрді. Күннің соңына қарай біз қолданбадағы кішігірім осалдықтар туралы бірнеше хабарлама алдық, оларды битап жігіттері тез арада жөндеді. Сағат 23 шамасында қатысушылар жалығып кете жаздаған кезде олар бізден бағдарламалық қамтамасыз етуді жақсарту туралы ұсыныс алды. Тапсырма оңай болған жоқ. Қолданбада қолжетімді төлемді өңдеу негізінде сілтеме арқылы екі әмиян арасында белгілерді тасымалдауға мүмкіндік беретін қызметті енгізу қажет болды. Төлемді жіберуші – қызметті пайдаланушы – арнайы бетте соманы енгізіп, осы аударым үшін парольді көрсетуі керек. Жүйе алушыға жіберілетін бірегей сілтеме жасауы керек. Алушы сілтемені ашады, аударым үшін құпия сөзді енгізеді және соманы алу үшін әмиянды көрсетеді.
Тапсырманы алып, жігіттер сергек болды, ал таңғы сағат 4-те сілтеме арқылы жетондарды тасымалдау қызметі дайын болды. Шабуылдаушылар бізді күттірмеді және бірнеше сағат ішінде құрылған қызметтегі XSS осалдығын тауып, бұл туралы бізге хабарлады. Біз оның қолжетімділігін тексеріп, растадық. Әзірлеу тобы оны сәтті жөндеді.
Екінші күні хакерлер виртуалды қаланың кеңсе сегментіне назарын аударды, сондықтан қосымшаға шабуылдар болған жоқ, ал әзірлеушілер ұйқысыз түннен демалуға мүмкіндік алды.
Екі күнге созылған байқаудың соңында битапс жобасын естелік сыйлықтармен марапаттадық.
Қатысушылар ойыннан кейін мойындағандай, хакатон оларға қосымшаның күшін сынауға және оның жоғары қауіпсіздік деңгейін растауға мүмкіндік берді. «Хакатонға қатысу – жобаңызды қауіпсіздікке тексеруге және код сапасы бойынша тәжірибе алуға тамаша мүмкіндік. Біз қуаныштымыз: шабуылшылардың шабуылына қарсы тұра алдық, – деп өз әсерімен бөлісті bitaps әзірлеу тобының мүшесі Алексей Карпов. - Бұл әдеттен тыс тәжірибе болды, өйткені біз стресстік жағдайда, жылдамдық үшін қосымшаны нақтылауымыз керек еді. Сізге жоғары сапалы код жазу керек, сонымен қатар қателесу қаупі жоғары. Мұндай жағдайларда сіз барлық дағдыларыңызды қолдана бастайсыз »..
Келесі жылы тағы да хакатон өткізуді жоспарлап отырмыз. Жаңалықты бақылаңыз!
Ақпарат көзі: www.habr.com