Comments 190
Если они вот так хранят пароли, то есть один совет — БЕГИТЕ!
Уязвимость была. Это доступность файла с паролями по ссылке без авторизации.
Значит логины и пароли на момент обращения были рабочие.
Ты случайно оставляешь во дворе на лавочке ключи от квартиры, я проверив, не ханипот ли это, открываю твою квартирную дверь. Как оказалось, в связке ключей еще и ключи от машины и офиса. А этим можно нанести огромный ущерб.
Уязвимость ли это?
Любая компания не может раскидываться деньгами налево-направо, есть программа Bug Bounty, с условиями конкурса, на который выделен бюджет. Просто платить из кармана (с своей зарплаты) никто не хочет.
Да, это мощная утечка, инцидент, оплошность работника, но награду за это никто не обещал и ничего не должен. Как за утерю паспорта. Или ключей. Можно договориться чисто на человеческих отношениях, не более.
Товарищам из Киевстара и всем кто не снимает лапшу с ушей про Out-of-Scope.
Вот вам показательный пример собственной бб-программы hackerone, а точнее репорта, который по иронии судьбы был им отправлен разработчиком из Киева (кстати на хабре есть рид-онли аккаунт с его ником). Вкратце: сотрудник Hackerone оставил персональные токены доступа в логах на Гитхабе. Итог — выплата $2000 за возможность потенциального коммита вредоносного кода в некоторые репозитории, который мог бы быть пропущен и в конечном счете импортирован куда не следует. Как вы думаете есть ли такое в Scope программы? Можете не гадать, а убедиться здесь, что явно такие вещи не указаны, т.к. любому грамотному человеку будет ясно, что уязвимости оцениваются по импакту, пусть даже от уязвимости которая косвенно влияет на основные активы компании, ведь в современном запутанном информационном пространстве дырочка в отдаленном сайте/сервисе может обернуться дырищей в самой компании.
Любая найденная брешь в безопасности — это всегда какая-то комбинация удачи взломщика, безалаберности и лени безопасников, науки, упорства и т.д… В данном случае было больше удачи, чем науки, но это не делает брешь менее опасной.
Уже только за это можно было бы отнести проблему к P2 а то и к P1
Они потеряли не ключи. Они потеряли листок с номером ячейки, где ключи лежали. Но ячейка-то должна была быть закрыта!
То есть уязвимость не в том, что прилетела ссылка на пароли. Уязвимость в том, что пароли доступны по этой ссылке без авторизации.
Вообще у Киевстара репутация не самых приятных людей, когда доходит до того, чтобы вести с ними какие-либо дела. И эта история — очередное доказательство.
Если мы говорим о моральной стороне дела, «чисто по-человечески», как вы выразились — то честно надо поступать вовсе не для того, чтобы денег срубить. :/ И вполне нормальная награда за честный поступок — это, вообще говоря, просто «спасибо», даже без всяких денег.
Что же касается bug bounty, то там суть в том, что человек делает некую работу, которая должна быть оплачена. В данном случае сложно говорить о работе по поиску уязвимостей — по сути, человек абсолютно случайно получил доступ на блюдечке из-за халатности одного из сотрудников. С тем же успехом можно ожидать вознаграждений, если случайно подслушать разговор двух сотрудников, в котором они конфиденциальной информацией обмениваются. Требовать за такое деньги (если таковые требования были) — это, извините, больше похоже на шантаж, а не участие в bug bounty.
«Уязвимость» в рамках программ bug bounty — это не то, что под этим словом понимает случайный человек, а именно то, что описано в качестве таковой в услових программы. Как правило, под таковыми понимаются ошибки в программном коде, алгоритмах или конфигурации сервисов, позволяющие причинить ущерб. Глупость сотрудника, выложившего в открытый доступ страничку с паролями к используемым им сервисам — это немного другое. А ваша трактовка «уязвимостей „является настолько расширительной, что де-факто легализует вымогательство и шантаж. Только в жизни на это обычно смотрят иначе и относятся к подобым людям соответственно. “Чисто по-человечески» нормальный разговор в таких случаях — " — Парни, у вас тут из окошка какая-то папка с бумагами выпала. — О, чувак, спасибо, мы можем тебя чем-то отблагодарить? — Ну угостите пивом.", а вовсе не "- Так, парни, я тут нашел вашу папочку, прочитал и решил, что вы мне теперь за молчание много бабла должны".
Вот ты пишешь
Парни, у вас тут из окошка какая-то папка с бумагами выпала. — О, чувак, спасибо, мы можем тебя чем-то отблагодарить? — Ну угостите пивом.", а вовсе не "- Так, парни, я тут нашел вашу папочку, прочитал и решил, что вы мне теперь за молчание много бабла должны".
А вот как это выглядит на самом деле
— Компания: Ой, мы тут ехали по улице на машине и у нас выпал из окна чемоданчик, набитый деньгами (учитывая вашу утечку) не меньше чем с четвертью миллиона гривен.
— Хантер: Ребят, у вас тут чемодан с деньгами выпал с окна машины, вот, держите, срочно закройте свое окно, что бы дальше деньги не вываливались.
— Компания: О, ну ты молодец, умничка, вот тебе 1000 гривен, иди с богом.
— Хантер: Алло, я мог забрать себе четверть миллиона, а вы мне 1000? Вы адекватные вообще?
— Компания: Ну ты понимаешь, это out-of-scope, вот если бы ты придумал как вытащить наши четверть миллиона из нашего офиса, вот тогда ты молодец, а так возьми на пиво и топай.
— Хантер: Да вы совсем охерели, пойду напишу хоть на хабр, пусть общественность увидит какой Киевстар жмоты с недоразвитым security отделом.
— Компания (один чувак): Ну я попытаюсь оправдать наш говнофейл в коментах, что бы нас не так хуесосили другие хантеры (понимая что компания в жопе :) )
И все в таком духе будет продолжаться. Короч Киевстар мудозвоны, а автор статьи один из ярчайших примеров White Hat хантеров.
P.S. Но в следующий раз топи этот Киевстар, толкай Critical баги в даркнете) Эти недалекие ребята потом еще поймут, как обосрались)
Bug Bounty нужно не багхантерам в первую очередь, они то заработают в любом случае, Bug Bounty нужно компании. Зачем? Что бы минимизировать крупные убытки в виде утечек и взломов более мелкими тратами, стараясь заинтересовать всех багхантеров в отправке найденного ими непосредственно в компанию, а не третьей стороне. Вот изначальная идея создания любого Bug Bounty. Это уже потом придумываются Severity, Scope и прочее, что бы как то формализовать схему оценки\выплат.
Если компания открывает свое Bug Bounty и не понимает то, что я написал выше, то это как использовать кучу одинаковых вложенных циклов вместо рекурсии, будет частично работать, но костыыыыыыыыльно и очень коряво…
Что же касается bug bounty, то там суть в том, что человек делает некую работу, которая должна быть оплачена.
А если человек потратил время, проведя работу по поиску и не нашел уязвимости. Работу то он проделал. Она должна быть оплачена?
Как нужно рассчитывать цену за найденную уязвимость, по сложности воспроизведения или все же по возможным рискам и потерям, которые могут наступить?
Платят не за работу, платят за уязвимость. То, что файл с паролями доступен без авторизации — уязвимость. Критичная.
Только в случае, если этот файл лежит в месте, где он и должен лежать по внутренним регламентам компании. А если безголовый юзер сделал себе файлик и по дурости выложил на условный яндекс.диск или иной открытый ресурс — к тому понятию уязвимости, за которое обычно платят деньги в рамках bug bounty, это имеет ровно такое же отношение, как если бы тот же сотрудник записал критичную информацию на бумажке, а потом ее в метро потерял. То есть никакого.
Что-то берут сомнения, что у Киевстар есть "внутренние регламенты", где должны лежать такие "файлики с паролями".
Да, это не относится напрямую к дыркам в ПО (ПО отработало как надо), скорее к дыркам в бизнес-процессах. Не захотели платить за дырку в бизнес-процессе — их понять можно. Но тогда их возмущение от публикации непонятно.
Сам по себе факт раскрытия информации об утечке — нормально, но вот эти обиды, что много денег не дали… по мне так когда люди начинают ожидать, что им непременно должны денег просто за нормальный человеческий поступок — это грустно.
А если безголовый юзер сделал себе файлик и по дурости выложил на
То это провтык службы безопасности в целом, которая проводит недостаточно работы по ознакомлению сотрудников с внутренним регламентом безопасности, или этот регламент недостаточно хорош, либо его вообще нет.
У этого безголового юзера есть админ доступ к сервисам компании, это не уборщица. Проблема с безопастностью у «головы», а не у стажера.
Кстати, какие последствия такой ошибки были для сотрудницы и для их службы безопасности? Я так понимаю, никогда не узнаем?
А на мой взгляд это яркий пример уязвимости в ИБ фирмы, где хранение и передача подобных доступов слаборегламентирована (и это в фирме подобных масштабов).
Тут дело принципов и ценностей КС — если для них сложившаяся ситуация ок, то внешними арбитрами, аудиторами, техническими аудиторами, фин. контроллерами, и прочими людьми, которые берут деньги за
Но ее суть от этого не меняется, т.к. она (уязвимость) так же может привести к негативным последствиям и ее тоже необходимо «закрывать» (ИМХО)
не_знаешь_пароль_не_можешь_его_слить.жпг
PAM, типа СайберАрка
Название плохо гуглится.
Можете привести английское название продукта и/или другие похожие продукты?
Основная идея — пароли к нерядовым (админским, сервисным) аккаунтам лежат в центральном волте, зашифрованные по полной, рандомные и ротируются хоть при каждом факте использования. А конечные пользователи — админы какого-то сервиса, которых больше чем 1, используя свои персональные бесправные учетки получают каким-то образом (в этом вся соль, каким конкретно) доступ к защищаемым учеткам. При этом действия, выполняемые под привилегированной учеткой логируются, записываются и при каких-то подозрительных корреляциях могут блокироваться на ходу.
Это если вкратце.
Или все-таки каким-то образом еще выдается одноразовый пароль?
Свой сервер в центральном офисе.
У каждого офиса статичный ип, по рдп любой может зайти только с этих известных ип.
В терминале пользователя браузер который умеет работать только с определенными сервисами (все жестко в закладках, в другие места фаервол не пустит). Плагин автоматически забивает пароли в эти сервисы. Логин/пароль от сервиса не увидеть, Все зарезано от и до.
Учетки в них хоть и общие, но все логируется какой пользователь откуда куда ходил что оформлял.
А телекомы — это отдельный ад. Такого сочетания количества серьёзных дыр и скрытности сотрудников не встречал больше нигде. Ряд критических уязвимостей у четырёх разных операторов, за четыре месяца (милое совпадение) не смог достучаться до адекватного сотрудника ни у одного оператора. Зато получил кучу ответов от роботов и крайне вежливых сотрудников поддержки, которые сочувствуют и надеятся, что когда-нибудь безопасники мне ответят.
2. Как обстоит с бэкапом?)
Когда два года назад возник прецедент с бета версией Мой Киевстар я дал свое слово сообществу Habr что Киевстар запустит BugBounty программу, чтобы серчеры пытались найти уязвимости в системах компании и получали вознаграждение за свои таланты. Для реализации программы мы выбрали платформу Bugcrowd и в прошлом году запустили
BugBounty в закрытом режиме — искать уязвимости приглашались только серчеры рекомендованные Bug Crowd.
В рамках программы компания предлагает найти уязвимости в системе самообслуживания Мой Киевстар, на официальном сайте, на сайте интернет-магазина и других онлайн-ресурсах, предложенных к тестированию. Суть Bug Bounty программы заключается в поиске ошибок (багов), особенно тех, которые касаются эксплойтов и уязвимостей. Независимый исследователь уязвимостей (= White Hat Hacker), найдя и подтвердив ошибку, получает вознаграждение.
Процесс поиска уязвимостей, обсуждения, устранения проблемы и выплаты вознаграждения регламентирован основными принципами проведения BugBounty, а также брифом компании, которая запускает программу. Регистрируясь в программе, исследователи автоматически принимают условия участия в ней, а также несут ответственность за соблюдения правил платформы BugCrowd. В рамках проведения программы Киевстар получает много сообщений, но только некоторые из них остаются в работе и могут быть вознаграждены согласно условиям брифа.
Весной этого года мы перевели программу в public чтобы больше серчеров могли попробовать свои силы в поиске уязвимостей. За указанный период исследователям было выплачено $27 155. Наивысшие разовые вознаграждения доходили до $1500.
Теперь ближе к конкретному инциденту.
Несколько недель назад мы получили от серчера сообщение об утечке административной информации. Исследователь получил доступ к файлу с перечнем некоторых онлайн сервисов, которые используются в Digital процессах компании.
В диалоге серчер сообщил что перечень получил по электронной почте непосредственно от сотрудника компании. Служебное расследование выявило что сотрудник который занимался ведением программы в результате ошибки автозаполнения в почтовом клиенте отправил письмо с сенсетив информацией на имейл одного из исследователей. Понятно что сам факт хранения паролей в таком виде недопустим и предмет отдельного разбирательства. Сотрудник был отстранен от дел.
Серчер в диалоге с BugCrowd прямо просил $5800 вознаграждения за сенсетив информацию, но описанный случай не соответствует брифу Bug Bounty от Киевстар. Проблема не была найдена посредством исследования кода одного из ресурсов заявленных в брифе, и не требует устранения конкретной уязвимости в одном из сервисов компании. Таким образом, сообщение исследователя не может быть обработано в рамках процессов Bug Bounty от Киевстар.
Единственная статья с широкой трактовкой в регламенте программы, к которой можно отнести данный прецедент подразумевает поощерительное вознаграждение в размере $50, что и было предложено серчеру в дополнение к искренней благоданости.
В коментариях было мнение что мол «могли договориться по человечески». Киевстар компания с крайне строгим отношением к Compliance — мы действительно ведем бизнес честно и не отступаем от принципов под давлением. Поскольку не смотря на исчерпывающие комментарии с нашей стороны, исследователь продолжал настаивать на выплате $5800 или намерении написать об этом пользователям habr.com компанией данное поведение может расцениваться как вымогательство.
Со стороны BugCrowd его намерение было расценено как попытка нарушить правила использования платформы о чем исследователь был уведомлен:
“…Before engaging in any testing or submitting findings the Researcher agrees that he/she will (i) hold in confidence and not disclose to any third party any Confidential Information (CI) of Disclosing Party, except as approved in writing by Disclosing Party;..”
Действительно благодарен серчеру за то что не слил сенсетив информацию и сообщил нам об утечке, и сожалею, что программа не предусматривает большее вознаграждение за подобную информацию.
Расстроен тем что благое намерение запуска честной и прозрачной программы Bug Bounty Киевстар с уважаемым арбитром Bug Crowd, сейчас оборачивается подобными публикациями. С другой стороны это важная обратная связь для улучшения самой программы и внутренних процессов компании.
Серчер в диалоге с BugCrowd прямо просил $5800 вознаграждения— ложь. Приведите пример такой фразы.
Are you seriously? $50 for access to accounts, the official total value of which is > $5800 ???
Зачем обманывать читателей, что «исследователь продолжал настаивать на выплате $5800»?
Довольно глупый бюрократический ответ. Если тезисно:
- Программа не предусматривает… так что идите лесом, хаха
- Вы же не старались, так за что вам платить?!
- У нас тут всё
строгопрогнило, мы как в смерительной рубашке, так что — шаг влево, шаг вправо и уже не платим, мы же серьёзная контора - Вымогатели!111 Вымогатели повсюду!
- Мы творим добро, а вы нас не цените!
А по сути:
- С вашей стороны был дичайший косяк, который мог стоить вам большииих денег
- Человеку, который не продал ваш "косяк" на сторону, вы подарили "блины на лопате" в качестве благодарности
- Теперь вы его обвиняете в вымогательстве
А выводы простые. В следующий раз этот или другой человек, столкнувшийся с подобной проблемой хорошенько задумается, а не продать ли это на сторону? Всё равно контора найдёт 150 отмазок, какой-нибудь пункт в регламенте, обвинит в вымогательстве, может даже судом пригрозит. А тут вроде шальные деньги.
Но дело, разумеется за вами.
Таким образом, сообщение исследователя не может быть обработано в рамках процессов Bug Bounty от Киевстар
Со стороны BugCrowd его намерение было расценено как попытка нарушить правила использования платформы
Так если сообщение исследователя не попадает под эту программу, как он может нарушить правила этой программы?
Вы конечно извините, но само сущестование такого файла с учетками к куче абсолютно не связаных между собой сервисов — явный признак того, что про безопасность у вас вообще никто не думает.
Интересно, скольким сотрудникам ради доступа к какому-нибудь одному сервису пересылали всю эту базу 'оптом'.
Это явно уязвимость.
2. Кроме того, то, что у вас пароли передаются по почте, и оказалось простым автозаполнением можно выслать sensitive дата — это явно уязвимость инфраструктуры. В адекватном случае, корпоративная почта может помечаться как public/internat/confidental, и следовательно confidental письмо не должно в принципе выходить за пределы внутренней почты. Но видимо у вас такой классификации нет, либо сотрудники ее не соблюдают.
Это уязвимость внутренней политики и отдела безопасности на уровне организации.
3. Оценка уязвимости, вне зависимости от ситуации, должна отталкиваться от возможных финансовых потерь компании. Это справедливо и с точки зрения логики и с точки зрения человека, который получил доступ к уязвимости и решает каким путем ему пойти.
2. Автор молодец, что опубликовал эту статью и мне без разницы, что за 5800$ он мог этого не сделать, ведь статья уже выложена. Добропорядочные люди должны знать то, как работает с данными эта компания и компания тоже молодец, что этому способствовала.
3. Не первый раз компания показывает свою некомпетентность в выборе сотрудников и вероятно маленькую зарплату для таких должностей, как HR, специалистов по безопасности, программистов и так далее.
а что бывает, если отправить сигнал по каналам связи, непредназначенным для подачи подобных заявок, описано в конце того же поста про Киевстар
и
Со стороны BugCrowd его намерение было расценено как попытка нарушить правила использования платформы о чем исследователь был уведомлен
Gorodnya как в воду глядел, разве что не важно предназначен канал связи или нет
данное поведение может расцениваться как вымогательство.
Дайте, пожалуйста, цитаты или скриншоты. Если вы не обманываете и не выкручиваетесь, это может заметно изменить отношение к ситуации.
Реплика приведенная выше и развитие диалога четко дает понять нам про намерение исследователя выложить информацию об инциденте в публичный доступ если не будет выплачено вознаграждение превышающее предложенные $50. Судя по тому что мы отказались выплачивать большую сумму и пост опубликован наша трактовка верна.
Также:
— в статье про запуск BugBounty указано, что компания нашла уязвимость во время бета-тестирования обновленной системы «Мой Киевстар» — но её нашёл пользователь Хабра;
— Вы обещали написать здесь об этом здесь – не написали;
— "Серчер в диалоге с BugCrowd прямо просил $5800 вознаграждения" — ложь. Я спросил "Вы серьезно? $50 за доступ к аккаунтам, официальная общая стоимость которых составляет $5800?";
— "было предложено серчеру в дополнение к искренней благоданости" — искренней благодарности я также ни разу не увидел (но это моё субъективное мнение);
— "исследователь продолжал настаивать на выплате $5800 или намерении написать об этом пользователям habr.com" — ложь. Я не продолжал настаивать, а пытался аргументированно спорить, используя максимально понятный бизнесу язык. Мало того, я нигде не указывал эту сумму (см. выше) и не угрожал публикацией, а сообщил, что я понимаю, что также могу быть неправ в ожидании большей награды, и в вопросе суммы – необходимо ли было компании заплатить $0 или $50 или $5000 – пусть рассудят пользователи habr.com.
Возможно, коллеги донесли Вам информацию некорректно, или же в спешке Вы читали репорт поверхностно. Посмотрите, пожалуйста, отчёт на Bugcrowd самостоятельно, чтобы убедиться в обратном.
По условиям Bug Crowd? Но вы же сами утверждаете, что данный случай не подходит под программу. Так и в чем проблема, рассказать об инциденте публично? Это же какой-то посторонний инцидент, к вашей bug bounty отношения не имеющий, верно? Почему на него должна распространяться какая-то конфиденциальность?
1. Весь пост пропитан обидой за «недополученные» деньги по обоим кейсам (за Мой Киевстар и за файлик с паролями).
2. Сообщество (на данный момент больше 160 человек проголосовало за «выплату $3000 и больше»)
3. В больших компаниях продолжают хранить пароли по старинке (привет адекватности)
Да, Киевстар облажался (но суть не в нём и не в его процедурах, хотя и ежу понятно, что если бы попало в скоуп багов — то выплатили бы).
Грустно, что те люди, которых называют white hat hackers по сути, превратились в обычных призоловов, которые шейрят посты в соцсетях в надежде получить
1. Комментарий который пропитан пренебрежением к автору данной статьи и мнению сообщества.
2. Нежелание признавать ошибки (организационные), за ошибки.
3. valear грустно. И еще более грустно.
Вероятно, вам, уважаемый Superl3n1n с тезисом призоловы == часть сообщества действительно очень трудно согласиться.
никогда не ждал каких-то вознаграждений!= «все должны делать так же, как и я, ибо только я могу быть прав»
Абсолютно с вами согласен. Просто есть понятие профессиональной этики. Тут налицо она нарушена исследователем, но для каких-либо выводов следует ждать фактаж.
Речь не о репутации Киевстар, а о том, как нивелируется значение профессии.
Вот интересною, если я, допустим, работаю на фирму конкурента Киевстар и найдя уязвимость отнёс её своему боссу, я поступил правильно или нет?
1. Есть правила платформы bugcrowd
2. Есть определение того, за что исследователь получает вознаграждение
3. Есть факт нарушения исследователем правил платформы (что по сути и есть нарушением профессиональной этики) под соусом «льву мяса не додают»
4. Есть факт халатности на стороне Киевстар
5. Есть факт того, что части сообщества по сути пофиг на объективность, все ополчились за 50 баксов (и это ёлки-палки низковато)
Ждём фактаж, т.к. тут его малость недостаточно для нормальных выводов.
3. Есть факт нарушения исследователем правил платформы (что по сути и есть нарушением профессиональной этики) под соусом «льву мяса не додают»
Можете, пожалуйста, назвать конкретно правило какое нарушил исследователь? Если даже директор направления Digital в Киевстар не может определится. Эта оплошность входит в рамки программы или нет. Автор статьи не выложил этот документ в публичный доступ (к вопросу об этике).
По поводу фактов, Вы уже 4-й раз говорите, что ждете их. Какие факты Вы ожидаете увидеть? И кто обещал их предоставить?
Communication regarding submissions must remain within Crowdcontrol and/or official Bugcrowd support channels for the duration of the disclosure process.
Довольно исчерпывающий пункт, с учётом того, что программа bugcrowd.com/kyivstar не завершена.
Кроме того, исследователь получил письмо, как я понял, по ошибке. И либо ради пиара, либо ради того, чтобы как-то пристыдить Киевстар, опубликовал пост тут. Хотя можно это было сделать по факту окончания программы / поискать что-то ещё. Я нечасто комментирую тут, но сдержаться было трудно после просмотра этого поста и комментариев под ним.
По поводу фактов, Вы уже 4-й раз говорите, что ждете их. Какие факты Вы ожидаете увидеть? И кто обещал их предоставить?
По поводу ожидаемых фактов. Я об этом комментарии habr.com/post/418591/#comment_18941197 Возможно, я заблуждаюсь, но именно переписка многое может прояснить.
Это отражено в заголовке и озвучено автором — он участвовал в программе. Появятся какие-либо скриншоты с подтверждениями, отлив и покажет, кто купался
Если бы я, как директор, увидел, что пароли хранят в одной куче да еще и в файле, я бы в этот же момент применил максимально высокое наказание к тем что допустил подобное, и всем кто рядом тоже (включая админов и секюрети)
А главное, сделал бы все что бы это не узнала общественность, тем более юзеры и акционеры.
А 5.000 или 50.000 это просто фигня по сравнению с репутационными потерями.
Даже если бы нашедший плевал мне в лицо, материл и требовал групповухи со всем секретаршами сразу, это никак должно повлиять главное — сделать все что угодно, что бы это не вышло наружу, а тем более, нашедший, вел себя очень культурно.
А пока, лично я, вижу в поведении ответственных лиц, только преступную тупость и дикую халатность.
Хотя чего еще ожидать от тех, кто хранит пароли крупнейшей фирмы в файле?
зы
думаю что скоро этот «директор» да и не только он, будут искать новую работу.
Вопиющий факап Киевстар никто не отрицает, это фактически подтверждается комментарием представителя компании. Хз, что там происходит, на самом деле.
Единственное, в чём имхо они молодцы — в самом факте существования багбаунти, но подобные факапы, конечно, сильно отбросят их назад.
Единственное, в чём имхо они молодцы — в самом факте существования багбаунти
Допустим у вас есть «штурмовой бронещит» из… нескольких листов бумаги. Поможет? Ну только если по ту сторону помрут от дикого ржача.
Так что толку от такой программы (которая никак не работает — выше уже Jarvis7 habr.com/post/418591/#comment_18949051 это хорошо разъяснил) нуль.
Компания Киевстар здорово накосячила. Вместо извинений (а за наплевательство к безопасности персональных данных нужно извиняться и очень-очень усердно) предствитель компании в слегка хамском тоне начал откровенно лгать, выгораживая Киевстар в виде «да чо вы тут траблы нашли, с кем не бывает, а исследователь мудак и не лечится».
Как вам подобная этика? Судя по тому, что вы это всё не упомянули — для вас нормально.
Хотя реально достаточно было сказать «ой, звиняйте, ужасный косяк, наша новая секретарша Леночка принесла с улицы котёнка и тот забежал на клавиатуру
Сложно? Корона упадёт?
Вообще на месте пиарщиков конкурентов я уже посылал бы переработанную статью на все крупные новостные порталы приговаривая «вот же пруха какая, да нахаляву».
Компания Киевстар здорово накосячила. Вместо извинений (а за наплевательство к безопасности персональных данных нужно извиняться и очень-очень усердно)
Поддерживаю, но судя по всему, там не было персональных данных.
Хотя реально достаточно было сказать «ой, звиняйте, ужасный косяк, наша новая секретарша Леночка принесла с улицы котёнка и тот забежал на клавиатуру мышка хвостиком махнула, нажал отправить емейл, мяукнул и напрудил на клавиатуру. Леночку пожурили, котёнка накормили и пристроили, ещё раз дико извиняемся, больше так не будем, пароли в явном виде больше не хранятся, а больше полтинника заплатить не можем, ибо случай формально не подпадает под наши условия и чуть что, акционеры спросят лично с того, кто выделит деньги. Кланяемся, мир, дружба, Киевстар. Всем хорошего дня. Ня.»
Угу, вообще удивительно, почему никто этого до сих пор не сделал. Хотя почему-то уверен, что реакция и хайп были бы аналогичны, исходя из пропорции проголосовавших.
Далеко не в одиночестве. Не надо по хабракомментаторам судить о сообществе в целом.
> Компания Киевстар здорово накосячила.
Этот абсолютно верное утверждение никак не пересекается с тем фактом, что требовать деньги за случайно попавшую в руки конфиденциальную информацию не есть хорошо.
Не за информацию. За сведения о том, что эта информация практически общедоступна (достаточно Яндексу эту ссылку проиндексировать и она будет видна всем).
За само неразглашение паролей никто ничего не требовал, насколько я понимаю.
Как можно нарушить правило платформы сообщением о баге, который не попадает под программу выплаты вознаграждений? Притянуть за уши конечно можно (раз отправил им сообщение, то теперь оно секретно, даже если не подходит), но по профессиональной этике — это либо баг (и стоит соблюдать секретность), либо не баг — и в чем тогда проблема рассказать? Замечу, что никакие пароли он не опубликовал. Только рассказал, что пароли были.
Как можно нарушить правило платформы сообщением о баге, который не попадает под программу выплаты вознаграждений?
Участием в багбаунти программе.
но по профессиональной этике — это либо баг (и стоит соблюдать секретность), либо не баг — и в чем тогда проблема рассказать?
несмотря на количество минусований, как по мне основных проблем две. 1. Алгоритм «принял участие в программе — получил шарово файл с паролями — захотел срубить денег — в отместку публиканул на хабре». Имхо именно это и есть нарушением профессиональной этики.
2. Халатность Киевстар и отсутствие фактажа и оф.позиции по этому вопросу (ичсх, подобная халатность встречается независимо от уровня/размера/оборота компании).
Жмотства лично я исходя из алгоритма в пункте 1 увы, но не вижу. Мне лично малость грустно от того, что такое количество людей алгоритм 1 вообще не рассмотрели, он тут тупо между строк читается (и да, это моё мнение и как бы не защищаю Киевстар).
и да, это моё мнение и как бы не защищаю Киевстар
Да, фраз о том, что Киевстар хороший у Вас не было. Но Вы постоянно говорите, что ТС негодяй.
В отместку или не в отместку, а я за публикацию. Я за публикацию даже когда вознаграждение выплатили (хотя понимаю, что это возможно намного реже). Не сторонник я Security through obscurity.
То есть если это баг, публиковать стоит позже, когда его закрыли. А если ерунда, меры уже приняты, да и воспользоваться уязвимостью не выйдет (ссылку на файл не дали) — не вижу проблемы. А вы?
"Репутацию" в качестве довода не считаю. Репутация складывается из того, что компания делает, а не из того, что она скрывает. Сохранять репутацию, скрывая проблемы — вот это точно нарушение профессиональной этики.
То есть если это баг, публиковать стоит позже, когда его закрыли. А если ерунда, меры уже приняты, да и воспользоваться уязвимостью не выйдет (ссылку на файл не дали) — не вижу проблемы. А вы?
Я вижу проблему сугубо в подходе к снаряду. Т.е. то, что ТС руководствовался личными мотивами, а не объективным освещением данного кейса. Публикация — маст хев, но не отсебятинка, а нормально подтверждённая фактами история с выводами и советами. Кстати, на месте ТС-а я бы опубликовал всю переписку в этом посте сразу (нарушать, так нарушать).
Сохранять репутацию, скрывая проблемы — вот это точно нарушение профессиональной этики.
да, со стороны Киевстара в этом случае. И я за то, что уже написал dimaviolinist по части извинений и констатации вопиющего факта со стороны провинившейся компании.
P.S. к кому ещё мог попасть этот файл и попал ли — думаю, что вряд ли узнаем.
публиканул на хабре». Имхо именно это и есть нарушением профессиональной этики.Послушайте, но на Хабре, и не только, регулярно публикуют найденные баги, и если это произошло таким образом, что конфиденциальная информация не пострадала, и неправомерного доступа к ней не образовалось, то никто не считает такую публикацию нарушением профессиональной этики.
Послушайте, но на Хабре, и не только, регулярно публикуют найденные баги, и если это произошло таким образом, что конфиденциальная информация не пострадала, и неправомерного доступа к ней не образовалось, то никто не считает такую публикацию нарушением профессиональной этики.
да, публикуют и это прекрасно. Каждый из предоставленных вами примеров — результат нормального исследования. А не перебор ссылочек из html-файла, утекшего от сотрудника какой-то компании.
С параллельным участием в BB-программе этой компании, паралельным получением утёкшего html-файла и публикацией на хабре с целью поднять ЧСВ и проучить оную компанию / доказать её неправоту.
Тут вот в соседней теме товарищ объясняет, что программист на афедроне сидит, а грузчики мешки таскают, и поэтому программисты столько сил не тратят, и должны работать 60 часов в неделю за еду, а кому не нравится — вон из профессии (да, я несколько утрирую). Скажите из интереса: а если бы автор скачал с сайта вседляхакера.ру суперэксплойтдлясайтов.ехе, ввел бы адрес Киевстара в поле «цель атаки» и нажал бы кнопку «взломать» (а Киевстар возьми и сломайся) — он тоже не мог бы претендовать на приз? Потому, что скачал с сайта, а не сам написал?
Кажется, мы с вами несколько по-разному оцениваем действия. Вы по затраченным усилиям и умыслам-замыслам, а я (судя по комментам, не я один) по результату.
Вот и получается, что в вашем случае злой автор пытался срубить денег на халяву, а когда не прокатило, отомстил публикацией, а в моем утечка была, об утечке известили, об утечке рассказано публике без критических подробностей, то есть весь процесс полностью попадает в этические рамки.
Профессиональная этика возникает профессиональной деятельности.
Здесь онной нет, значит и нарушать нечего.
ps: профессиональная деятельность — это не птоказатель уровня умений, а деятельность, связанная с получением дохода на регулярной основе.
Т.е. вы считаете, что багхантингом и написанием тут постов занимаются нубы? Профессиональная этика и деятельность — это два разных понятия. Да, конкретно в этом случае ТС хотел получить доход, ничего не делая, но это не меняет сути.
Можно быть отличным специалистом в какой-то области, но оставаться в ней любителем.
Профессиональная деятельность начинается с доходом на регулярной основе.
Если я вне работы (на которой починяю примусы) поломаю кому-то примус (никак не связанный с работой), то это профессионально или нет?
Профессиональная этика — набор нравственных норм, связанных с осуществлением профессиональной деятельности (а вовсе не с уровнем профессионализма).
Случай с примусами в принципе не имеет никакого отношения к этике, ни к профессиональной, ни какой иной.
Более внятный пример —
Вася адвокат, защищает Петю в суде.
В ходе работы по разбирательству в деле Васе становятся известны доказательства вины Пети. Профессиональная этика не позволяет Васе оглашать ставшие известными ему факты.
Но если Вася случайно (т.е. не исполняя профессиональные обязанности) становится свидетелем того, как Петя грабит магазин, то никакая профессиональная этика не запрещает ему давать показания.
Лично меня в этом кейсе бесит не только халатное отношение к паролехранению, но именно то, что ТС вообще ничего не потрудился сделать, чтобы получить этот файл. Да, не ок хранить так пароли и возникают вопросы к компетентности сотрудников и к компании вообще. Не ок отправлять письма, не проверив адресата. Не ок не удалять автоматом письма, которые предназначены не тебе (тут уже вопрос другой этики). Но также не ок на волне личных обид выносить сор из избы, когда ты согласился ранее это не делать.
Лично меня в этом кейсе бесит не только халатное отношение к паролехранению, но именно то, что ТС вообще ничего не потрудился сделать, чтобы получить этот файл.
Ну почему же ничего не сделал? Он проверил 113 ссылок. И одна таки сработала.
Цитата из статьи:
Всего в файле было 113 закладок. И среди разнообразных ссылок, как по работе (которые не открывались из внешней сети), так и не очень, затесалась одна, открыв которую мои глаза стали по пять копеек.
Ну почему же ничего не сделал? Он проверил 113 ссылок. И одна таки сработала.
Я имею в виду сам метод получения файла и факт того, что человек желает вознаграждение за это. Если бы он был найден примером, через индекс гугла / яндекса или получен через публичные каналы коммуникации — вообще не вопрос. Это достойная вознаграждения работа даже в out of scope
Багхантинг за деньги — это не совсем про увлечение.
В основном — про увлечение. Для квалифицированного специалиста этот источник дохода очень ненадежен (и весьма скуден).
Среди моих знакомых, занимавшихся исследованием чужих программных продуктов, большинство делало это just because it is fun в свободное от основной работы время.
Когда же процесс оборачивается каким-то результатом — встает вопрос, что с этим результатом делать:
1) Тихонечко молчать и наслаждаться своей крутостью в одиночесве
2) Бескорыстно обнародовать на паблик для всеобщего признания
3) Эксплуатировать самому для темных дел
4) Продать на сторону
5) Участвовать в bug-bounty программе
Варианты 1 и 2 — на любителя
2,3,4 — имеют некоторые проблемы с законом
3 — самый палевный и сложно реализуемый
3, 4 обеспечивают потенциально наибольший доход, поэтому если выбирать из всех вариантов 'профессиональную деятельность', то это сюда ) и профессиональная этика там тоже есть, но малость другая.
А вариант 5… Приносит и общественное признание и индульгенцию и некоторую денюжку, как правило весьма скромную. Как раз то, что нужно любителю.
ТС вообще ничего не потрудился сделать, чтобы получить этот файл1) если это действительно так, то тем более ни о какой профессиональной этике речи идти не может.
2) я бы тоже говорил 'файл сам пришел', независимо от способа, которым он был реально добыт.
1) если это действительно так, то тем более ни о какой профессиональной этике речи идти не может.
я имею в виду то, что он принял участие в программе и согласился с её правилами. И публикацией их нарушил. Кроме того, весь сыр-бор тут из-за денег, а деятельность за деньги — это как раз та самая профессиональная деятельность.
2) я бы тоже говорил 'файл сам пришел', независимо от способа, которым он был реально добыт.
Исходя из вашего описания non-profit деятельности есть большое подозрение, что посыл конкретно вашего поста в этом случае был бы не о деньгах ) Хотя, возможно, я заблуждаюсь.
я имею в виду то, что он принял участие в программе и согласился с её правилами. И публикацией их нарушил.
Цитирую начальника:
Действительно благодарен серчеру за то что не слил сенсетив информацию и сообщил нам об утечке, и сожалею, что программа не предусматривает большее вознаграждение за подобную информацию.
Другими словами информация которую передал хакер не подпадает под условия «Bug Bounty Киевстара», значит и обязательств никаких по этой программе у него нет. Нельзя нарушить правила тем что не подпадает под правила. Ну в смысле хакер думал что подпадает, а начальник считает что нет.
Кроме того, весь сыр-бор тут из-за денег, а деятельность за деньги — это как раз та самая профессиональная деятельность.
Странное утверждение. Не все что делается за деньги — профессиональная деятельность.
Возможно, но я рукодствуюсь ответом Розенталя по этому вопросу https://www.artlebedev.ru/kovodstvo/sections/165/
В письме вообще-то говорится, что "прописная буква… пишется только при обращении к одному лицу..., при этом обычно в личной переписке". А вот это:
В качестве особого исключения можно писать Вы при личном обращении к невероятно уважаемому человеку (у каждого таких адресатов в жизни наберется человека три).
уже какая-то отсебятина Лебедева.
уже какая-то отсебятина Лебедева.
скорее всего отсебятина, но вот Розенталь всё-таки ответил относительно замечания Superl3n1n :)
имхо это немного оффтоп относительно к поднятой теме.
Похоже что это какая-то фирменная фишка операторов — играть роль наперсточников и придумывать новые способы грабежа.
То "посекундная тарификация" с оплачиваемой каждой первой секундой минуты, то "4-недельные" тарифы вместо месячных. То самоменяющиеся тарифы, которые нельзя поменять в идиотском "My Kyivstar" обратно, пока он не сменится. И это не говоря про всякие 'случайно' включившиеся гудки и прочую чушь.
Вот честно, вообще не жалко их. Даже если бы утекло всё это куда-то прям с паролями.
ain.ua/special/kyivstar-bug-bounty
1) Поднял ключи, окрикнув Вас и передал их Вам.
2) Поднял ключи, угнав машину и расспродал ее на запчати.
3) Поднял ключи, угнав машину, сбил человека на этой машине и скрылся.
Можете еще придумать… Следующий вопрос, а как Вы считаете нужно мотивировыть других людей поступать как в пункте 1)?
4) прошел мимо, не обратив внимания
Вполне законно, но проблемы с ключами будут. И вот действительно, как по-вашему мотивировать поступать как в пункте 1, а не 4?
Кроме того, не забудьте что человек, идущий за вами знает, что за ним пройдет еще много людей и если он ничего не сделает (пройдет мимо), они точно деньги увидят.
В тему: однажды как-то попробовал людям помочь, дотащил мужика до квартиры, а потом внезапно «у него была сумочка барсетка, ты ее взял и спрятал по пути, а в ней 500 тыщ р. было отдавай». С применением ниндзя-дзюцу убежал по потолку и теперь на такое не ведусь. А ведь — знал о таких схемах развода. С другой стороны, вот такие вот реверсивные жадины, как РТ, дискредитируют остальных (им может и в плюс?). Проще слить базу чем баунти с риском присесть.
P.S. если бы киевстар вообще ничего не заплатил, а дал только репутации, это было бы адекватнее. Можно было бы сослаться на политику багбаунти, возможно выдать какой то подарок и все. Выплатить 50$ это как дать на благотворительность 10 копеек.
Но про киевстар могу предположить, что они, как провайдер, имеют людей в коллцентре больше, чем админов. И, мало того, админы и поддерживающие прогеры получают очень не шибко много. Равно как и остальные сотрудники. Подход «да у меня грузчики столько не получают»(с) во всей красе. Это цитата одного человека, которому я подрядился делать видеонаблюдение, потому что «фирма отказалась». Фирма отказалась оттого, что здания дореволюционной постройки, и как они выкатили ему счет за бурения каменных стен, он и сдулся. Я все сделал. И внезапно, получил я… пицот рублей. Я конечно, потом с него стряс что хотел, но осадок остался. happy? Неа. Это жлобство повсюду что-то.
>>киевстар может потерять десятки тысяч долларов, и в этом будет виноват сам киевстар.
Да какое дело топам до бюджета компании? Компания может и потеряет, а тот, чо чьей указивке было, весь белый и в манишке. И ничо ему не будет, это же злые хакеры. Вот инструкции, никто не нарушил, как обычно.
Эффективные, одним словом.
В итоге, компания «Киевстар» — жлобы еще те.
Еще хуже скажу, не один из крупных операторов связи Украины особо платить денег за уязвимости не собираются.
Заграницей такой кейс обычно влечет кучу извинений и увольнения ключевых сотрудников.
Интересно, что произойдет с Soultan.
вернул — и правильно, от греха подальше, хлопот потом больше чем выручки… но данные подобного рода существенно бизнесу могут навредить.
я думаю, такие случаи, нужно придавать огласке, привлекать государственные органы отдавая полученные материалы, привлекать СМИ и т.п., киевстар далеко не благородная компания и наглостью порой очень надоедают (мне, как постоянному клиенту)… пусть бы вкусили этого пирога…
и как данные свои личные им доверять, если безопасность видимо постоенная никак…
и конечно, никто за это отвечать не будет, потому они типо и замяли дело кинув $50, а может и кто из своего кармана, чтобы в отчетности это не фигурировало…
кто его знает )
Хорошо, человек пришёл сюда и поделился ситуацией. Просто вот как есть — жадные и тд. Но представитель компании продолжает наступать на грабли, видимо стараясь ухудшить репутацию своей компании, пробив ею дно. Нет бы просто отмазаться — «простите, извините, политика компании и тд, мы очень ценим Ваши старания», дать какой-нибудь презент — да тот же интернет или ещё что. Как альтернатива — хотя бы сказать «ой, сотрудник ошибся, нолик недописал в выплате». И все довольны, компании кричат — вот Вы молодцы, быстро и адекватно реагируете на ситуацию. Но нет — надо хамить, пугать «Вы соглашение нарушили», выставлять автора вымогателем и тд.
И добилась эта компания лишь того, что 1) Компетентные люди не раз подумают, а стоит ли вообще связываться с ней и 2) Что помогать ей — себе дороже, лучше загнать данные либо «повеселиться».
P.S.
Я удивлён, что в новостях этого ещё нет — ведь компания мало того, что не признала факт открытой уязвимости, да хоть в отсутствии элементарной двухфакториалки — «Проблема не требует устранения конкретной уязвимости в одном из сервисов компании.», так ещё и пытается с помощью подтасовки фактов и обвинений в шантаже испортить деловую репутацию человека, который помог им обнаружить подобные недочёты.
Но отправить ведро админ доступов по почте куда попало это не фейл, это какой-то сюриализьмъ. Помня какая фанатичная в кучмастаре СБ, по 3 раза в месяц смена паролей во всё что можно запаролить, с хистори на 10 последних паролей и везде разные такой вот слив на левый адрес… Нужно было падать в ноги и циловать руки с воплями «Благодетель вы наш»
Ну а по итогу — колоссальный удар по репутации, которую они сами оценили в 50$
IMHO автор немного ошибся
Надо было либо писать о проблеме за рамками BB, — «вот мне тут прислали интересный мейл с открытыми доступами». И наивно надеяться на щедрость КС.
Либо, пользуясь таким джокером, найти выход на присланные ресурсы в рамках ВВ и потом уже отправлять заявку.
За пост — спасибо, стало понятно почему деньги со счетов пропадают ))
пришла смс о «подключенной услуге удивительного общения на одном сайте, стоимостью 3.50 в день. Если не хотите — смс на тот же номер со словом „СТОП“. Окай — делаю, отключается.
Месяц — повторная штука, и опять минус 3.50 в день. Звоню. Выясняю, что это не третье лицо, не левая компания, а доп услуга, и „отключить мы не можем, пишите смс об отказе“… а триписят-то ушло уже :)
К чему это я…
Автор, почитав Ваши посты и комментарии (кстати удивляюсь Вашей толерантности к происходящему) хочу высказать Вам респект. Вы — молодец, и у Вас здорово получается, жаль только, что хамьё, жульё и проходимцы попадаются на пути, как бы подталкивая делать подобные вещи (продать на сторону и прочее).
Надеюсь справедливость воссторжествует )
— Ало, милиция тут маньяк с топором бегает рубит всех, уже 5 человек в крови! спасите!
— С начала поздоровайтесь, а потом уж говорите…
— Ну, здравствуйте, тут маньяк уже 10 человек…
— (перебивая) Какое «НУ» вы что из деревни?
— Да, тут людей убивают!
— Это не отменяет культуру общения.
— Он уже всех убил, за котят принялся!
— И все же с начала извинитесь, за вашу безкультурность.
— Какая культура? Тут люди гибнут, котята мрут…
— И все же, это не мы вам звонили, а вы нам, нагрубили, нахамили. Как вы говорите вас зовут? вот вам повестка в суд за оскорбление при исполнении.
Что за хамы кругом, ужас, невозможно работать.
но $50 за добропорядочность да, маловато, тем более для компании
Если бы я потерял кошелёк с правами, деньгами, паспортом, ключами (допустим большой кошель), то нашедшего, вернувшего всё это, определённо большей суммой наградил бы )
В ответ на ваше письмо сообщаем, что Компания заинтересована в устранении уязвимостей, однако у нас не применяется практика выплаты вознаграждения. За информацию, оказавшуюся полезной, будет предоставлено рекомендательное письмо от Компании «белому хакеру», в глазах профессионального сообщества оно ценится.
Я долго думал, отправлять ли им информацию о нескольких критических уязвимостях, но потом они сам исчезли из переписки. Так что 50$ — это уже неплохо :)
Тем временем, по улице Яблочной, недалеко от клуба юных робототехников «Зеленый Дроид», шел по делам Вася Городокин. В хорошем настроении, он возможно и не заметил бы двух неопрятных личностей без определенного места жительства, если бы не поскуливание породистого щенка с белой отметиной на ухе. Один из явно нетрезвых, бомжеватого вида мужчин, держал щенка за загривок и намеревался сделать с ним что-то нехорошее: то ли отдать в стоящий рядом киоск APT-Шаурма (поговаривают, что несмотря на творческое название, там приплачивали за мясной «материал», по живому весу), то ли просто бросить его с размаху головой об стену трансформаторной будки. Вася решительно подошел к бездомным и отобрал у них щенка. На ошейнике он увидел бирку с адресом и просьбой вернуть за вознаграждение, за три… на этом текст обрывался, так как на бирке не было места. И вот, уже через двадцать минут Вася позвонил в квартиру, указанную там. Дверь открыл папа Люси: без лишних слов, он выхватил щенка из рук Васи и молчал, меряя его хмурым взглядом.
-«Ну, я это… щенка вот нашел, у бомжей каких-то отобрал. Ваш?». Почему-то стесняясь, спросил Вася.
— «Ну, наш. Спасибо, искренняя благодарность», меняясь в лице и становясь еще более хмурым, ответил папа Люси,
— «Может, вынести вам стакан воды, из под крана?». Хриплым голосом добавил он.
— «Нет, это лишнее», ответил Василий, быстро развернулся и пошел вниз по лестнице. Еще до того, как Люсин папа закрыл дверь, он услышал детский визг счастья, тявканье, женские всхлипывания и бормотание мужчины, в котором едва улавливались отдельные слова «украл», «наркоман» и «вызывай полицию».
![image](https://habrastorage.org/getpro/habr/comment_images/c17/ec6/598/c17ec6598eda6ec76eb9eb7fdf33c9ac.jpg)
А потом вы идете и пишете очередную статью как вам очередной сервис провел по губам, чтобы снова начать жалостливо ныть о «совершенно неожиданной» и несправедливой реакции на ваши баги, которые вы принесли, и круг совершает новый оборот.
Мне лично вас не жаль, ваши отчаянные писульки ничего не сделают, а баги вы все равно принесёте и завтра и послезавтра, хотя тут же, в другом месте, вам предлагают суммы более чем в 100 раз большие. Вы сами отрицаете рынок и сами ноете что вам не платят. Выберите что-то одно. Либо несите туда где платят, либо не жалуйтесь, когда вас снова пнут, потому что сами вы, кроме написания этих историй, из года в год, на потеху публике, ничего для этого не делаете.
Вопрос здесь в том, кто это купит. А купят люди, которые смогут эксплуатировать и монетизировать полученные данные, либо, как минимум, успешно шантажировать данными, которые монетизировать лучшим образом не получилось.
Кстати, в комментариях под его прощальной записью об уходе из компании ему пишет «В добрый путь, Виталий!» сотрудница, которая и отправила тот злосчастный e-mail. Такие дела.
После последних событий статья и комментарии читаются с интересом...
Bug Bounty Киевстара: награда за админский доступ к сервисам Jira, AWS, Apple, Google Developer, Bitbucket — 50 долларов