Comments 19
Странно, не нашлось ни одного сильного хакера с квалифицированной электронной подписью...
Ошибка выжившего во всей красе)
Скажем так, а зачем обьявлять о критической уязвимости и потом принимать майора, когда можно будет на сером рынке сбросить без всяких проблем?
удивительно конечно)
Сильно напоминает анекдот про Неуловимого Джо.
РТК ожидал, что в мероприятии будут как минимум 5 победителей, которые найдут серьезные уязвимость в ДЭГ 2021.
И что эти 5 уязвимостей никто не нашел?
Я немного поковырял код их фронта. Ну что могу сказать, в целом в плане без-ти внутри все впорядке, санитайзеры, ограничения по запускаемым браузерам, шифрование и тп, присутствуют, пакеты прошли аудит успешно, но довольно грязно с кодом. До бека руки не дошли. Хотел поковырять непосредственно живую систему, но к сожалению подал заявку слишком поздно, уже в воскресенье :(
А как санитайзеры на фронте влияют на безопасность?
Защищают от межсайтового скриптинга (xss) https://angular.io/api/platform-browser/DomSanitizer
Видимо настолько выборы нафиг никому не нужны, что никто и не занимался жтой темой.
Да даже если бы нашли, ростелеком сказал бы что не нашли)
И 2 дня это неочем,так и пентагон про свои данные мог сказать,но их ломанули же))
Так 2 миллиона в рублях РФ - это очень мало для нормального баунти, я таки молчу про приличный.
Хакатон был придуман только "для галочки", чтобы отчитаться, что ничего не найдено и система прошла "публичное тестирование безопасности".
В правилах проведения сильно закручены гайки. Ну что DDoSить нельзя - это ладно. Что не принимают отчеты автоматических сканеров - это тоже ладно :) Но там за уязвимость не принималось почти ничего.
По сути выложенный код составляет лишь процентов 20 от всего кода системы. Наверняка основные баги там, что не выложено.
Замечательно, значит никаких сбоев, утечек и мошенничеств на голосовании не будет
"Мы позвали домушников и меджвежатников, чтобы они проверили замки в нашем банке. Они заверили, что наш сейф отлично защищён!"
«Ростелеком» подвел результаты хакатона по тесту системы ДЭГ 2021. Ее никто не смог взломать