В России появилась биржа по покупке уязвимостей в ПО
1 июня 2016 года
Команда из бывших хакеров и разработчиков запустила по адресу expocod.com российскую биржу по покупке уязвимостей в популярном программном обеспечении, пишет газета «Коммерсант».
Согласно информации, опубликованной на сайте, за информацию об уязвимости в Adobe Flash компания готова заплатить 55 тысяч долларов, уязвимости в различных браузерах могут быть проданы площадке за 35-60 тысяч, а если речь идет об анонимном браузере Tor, цена может составить 80 тысяч долларов. Перепродавать купленную информацию Expocod намерена государственным структурам и компаниям в сфере информационной безопасности (ИБ).
Основатель Expocod Андрей Шорохов сообщил изданию, что раньше работал в финансовой разведке в управлении финансовых расследований Росфинмониторинга, где специализировался на расследовании высокотехнологичных преступлений.
«Я единственный владелец Expocod и конечный бенефициар этого проекта, каких-то тайных инвесторов тут нет, все средства в развитие проекта вкладываю я», – заявил Шорохов, отметив при этом, что в команду проекта входят бывшие хакеры, которые перешли на «светлую сторону», а также специалисты из ИБ-индустрии.
Помимо купли-продажи уязвимостей компания намерена самостоятельно искать их, а также работает над созданием своего ПО, которое позволит оценивать степень защищенности какой-либо IT-системы. По словам Шорохова, компания уже достигла предварительных договоренностей о тестировании этого ПО на системах одного из крупных российских банков.
«Своим существованием хотим показать, что исследователи уязвимостей могут зарабатывать не только благодаря взлому тех или иных объектов, но и отдав свои труды на безопасность», – отметил он. По мнению Шорохова, к концу года оборот Expocod от сделок по приобретению уязвимостей составит около 100-120 миллионов рублей, а оплата будет проводиться банковскими переводами или биткоинами.
Перепродавать уязвимости биржа намерена как ИБ-компаниям, так и госорганам. При этом Шорохов подчеркнул, что компания оставляет за собой право выбирать, кому и что продавать, поскольку этот вопрос касается этики и репутации.
«Безусловно, каким-то борцам за независимость Сомали, КНДР или подобным им режимам мы продавать эксплойты не будем, а всем остальным – почему бы и нет», – сказал Шорохов. При этом два собеседника «Коммерсанта», знакомые с проектом, сообщили, что сотрудники ФСБ общались с Expocod на тему возможного приобретения уязвимостей.
Создатель Expocod подчеркивает, что поиск и разглашение уязвимостей в софте не являются противозаконными. Такого же мнения придерживается гендиректор ALT Linux Алексей Смирнов.
«Многие вендоры, например, тоже покупают информацию об уязвимостях, и не только в своем софте. Например, антивирусные компании покупают ее, чтобы обновлять свои антивирусные базы», – отметил Смирнов.
Напомним, что на минувшей неделе стало известно о планах Минкомсвязи привлечь хакеров для поиска уязвимостей в софте, внесенном в реестр отечественного ПО. По словам представителей ведомства, такая возможность обсуждается с отраслевым сообществом.
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
