The Standoff의 첫 번째 해커톤은 어떻게 진행되었나요?

PHDays 9에서 사이버 전투의 일환으로 처음으로 등장 스탠드오프 개발자를 위한 해커톤이 열렸습니다. 방어자와 공격자가 도시를 장악하기 위해 이틀 동안 싸우는 동안 개발자는 사전 작성 및 배포된 애플리케이션을 업데이트하고 공격이 쏟아지는 상황에서도 원활하게 실행되도록 해야 했습니다. 그 결과가 무엇인지 알려 드리겠습니다.

저자가 제출한 비상업적 프로젝트만 해커톤에 참가할 수 있도록 승인되었습니다. XNUMX개의 프로젝트에서 지원서를 받았지만 단 하나만 선정되었습니다 - bitaps(bitaps.com). 이 팀은 비트코인, 이더리움 및 기타 대체 암호화폐의 블록체인을 분석하고 결제를 처리하며 암호화폐 지갑을 개발합니다.

대회가 시작되기 며칠 전에 참가자들은 애플리케이션을 설치하기 위해 게임 인프라에 대한 원격 액세스 권한을 받았습니다(보호되지 않은 세그먼트에서 호스팅됨). The Standoff에서 공격자는 가상 도시의 인프라 외에도 애플리케이션을 공격하고 발견된 취약점에 대한 버그 바운티 보고서를 작성해야 했습니다. 주최측이 오류가 있음을 확인한 후 개발자는 원할 경우 오류를 수정할 수 있습니다. 확인된 모든 취약점에 대해 공격팀은 공개적으로 보상(The Standoff의 게임 통화)을 받았고 개발팀에는 벌금이 부과되었습니다.

또한 대회 조건에 따라 주최자는 참가자에게 애플리케이션 개선을 위한 작업을 설정할 수 있습니다. 서비스 보안에 영향을 미칠 수 있는 실수 없이 새로운 기능을 구현하는 것이 중요했습니다. 애플리케이션이 올바르게 작동하고 개선 사항이 구현되는 매 순간마다 개발자는 귀중한 공공 자금을 받았습니다. 프로젝트에서 취약점이 발견되거나 애플리케이션이 매 순간 중단되거나 잘못된 작동을 하는 경우 해당 취약점이 삭제되었습니다. 이는 우리 로봇에 의해 면밀히 모니터링되었습니다. 문제가 발견되면 우리는 이를 Bitaps 팀에 보고하여 문제를 해결할 수 있는 기회를 제공했습니다. 제거되지 않으면 손실이 발생했습니다. 모든 것이 인생과 같습니다!

대회 첫날, 공격자들은 서비스를 테스트했다. 하루가 끝날 무렵 우리는 애플리케이션의 사소한 취약점에 대한 몇 가지 보고만 받았고, Bitaps 직원들은 이를 즉시 수정했습니다. 밤 23시쯤, 참가자들이 심심할 무렵 우리로부터 소프트웨어 개선 제안을 받았습니다. 그 일은 쉽지 않았습니다. 애플리케이션에서 사용할 수 있는 결제 처리를 기반으로 링크를 사용하여 두 지갑 간에 토큰을 전송할 수 있는 서비스를 구현해야 했습니다. 결제를 보내는 사람(서비스 사용자)은 특별 페이지에 금액을 입력하고 이 송금에 대한 비밀번호를 표시해야 합니다. 시스템은 수취인에게 전송되는 고유 링크를 생성해야 합니다. 수령인은 링크를 열고 송금 비밀번호를 입력하고 금액을 받을 지갑을 표시합니다.

작업을 받은 후 사람들은 기운을 냈고 아침 4시에 링크를 통해 토큰을 전송하는 서비스가 준비되었습니다. 공격자들은 우리를 기다리게 하지 않았고 몇 시간 내에 생성된 서비스에서 사소한 XSS 취약점을 발견하여 우리에게 보고했습니다. 이용 가능 여부를 확인하고 확인했습니다. 개발팀에서 문제를 성공적으로 해결했습니다.

둘째 날 해커들은 가상 도시의 사무실 부분에 집중해 애플리케이션에 대한 공격이 더 이상 발생하지 않았고 개발자들은 마침내 잠 못 이루는 밤을 지낼 수 있었습니다.

이틀 간의 대회를 마친 후, 비탭스 프로젝트 기억에 남는 상품을 수여하였습니다.
참가자들이 경기 후 인정한 것처럼 해커톤을 통해 애플리케이션의 강도를 테스트하고 높은 보안 수준을 확인할 수 있었습니다. “해커톤에 참여하는 것은 프로젝트의 보안을 테스트하고 코드 품질에 대한 전문 지식을 얻을 수 있는 좋은 기회입니다. 우리는 기쁩니다. 우리는 공격자들의 공격에 저항할 수 있었습니다. — 그의 인상을 공유했습니다 Bitaps 개발팀 Alexey Karpov의 멤버입니다. - 스트레스가 많은 상황에서 속도를 위해 애플리케이션을 개선해야 했기 때문에 이는 특이한 경험이었습니다. 고품질의 코드를 작성해야 하는 동시에 실수할 위험도 높습니다. 그러한 상황에서는 모든 기술을 사용하기 시작합니다.".

내년에도 해커톤을 다시 개최할 예정입니다. 뉴스를 팔로우하세요!

출처 : habr.com