«По итогам bug bounty, в которой участвовали около 100 IT-специалистов, было выявлено только три уязвимости», – рассказал директор Центра мониторинга и реагирования на кибератаки «Ростелеком-Солар» Владимир Дрюков, говорится на сайте Ассоциации «Независимый общественный мониторинг».
В среде IT-специалистов bug bounty называют процедуру привлечения сторонних экспертов по безопасности к проверке своих программ и систем. Такой процесс ставит целью обнаружения ошибок в программном обеспечении компаний разработчиков. Разработчик федеральной платформы ДЭГ – ПАО «Ростелеком» – в этом году провела трехдневный bug bounty. Принять участие в нем могли айтишники, готовые «в белую» зарегистрироваться для участия в поиске уязвимостей и ошибок федерального ДЭГ.
«Привлечь людей к взламыванию государственных информационных систем – это очень сложная задача, большого желания она не вызывает», – поделился с участниками встречи главный архитектор ДЭГ Юрий Сатиров.
Тестирование было организовано в рамках открытого комьюнити (хакеры должны были регистрироваться, предоставляя паспортные данные). Проводилась проверка многоэшелонированной обороны. Всего было подано около 20 отчетов от так называемых белых хакеров. «Из них уязвимости средней критичности было выявлено три. Только одна потребовала корректировки системы с точки зрения киберотчетности», – рассказал Владимир Дрюков.
Общий призовой фонд, выделенный «Ростелеком-Солар», составил 2 млн рублей. Поскольку выявленные уязвимости оказались некритичные, целиком он выплачен не будет. «Тестирование системы ДЭГ шло три дня, завершилось 24 августа», – пояснил Дрюков.
Относительно процедуры подведения итогов выборов председатель территориальной избирательной комиссии дистанционного электронного голосования Олег Артамонов пояснил, что именно регулярное тестирование системы ДЭГ позволяет автоматизировать систему и уменьшить время вычисления электронных голосов. «Хотя процедура программного подсчета голосов занимает не более пяти минут, итоги выборов в каждом субъекте станут известны только спустя час после завершения голосования, ведь в рамках процедуры подсчета также идет работа по сверке списков и протоколов», – объяснил Артамонов.
Эксперты также обсудили высокий спрос на участие в дистанционном электронном голосовании. «На сентябрьских выборах ожидается более 1 млн заявлений на участие в ДЭГ, поэтому нагрузка на систему будет высокой», – предположил Юрий Сатиров. При этом итоги ДЭГ, в отличие от прошлого года, будут подводиться в каждом часовом поясе отдельно. Сатиров объяснил: «Ключи шифрования и дешифрования ДЭГ для каждого часового пояса будут своими, что, в свою очередь, поможет снизить нагрузку на систему».