У липні 2021 року Мінцифра запустила Bug Bounty копії застосунку Дія з призовим фондом 1 млн грн: за пів року тестування вразливостей, які б впливали на безпеку застосунку, так і не знайшли.
Про це 2 лютого 2022 року повідомила пресслужба Міністерства цифрової трансформації.
«На сьогодні Дія – найбезпечніший продукт в Україні. Ми постійно це перевіряємо та підтверджуємо, оскільки захист та безпека користувачі – наш топ-пріоритет. Ми вдруге провели Bug Bounty застосунку, і вдруге хакерам не вдалося знайти жодних критичних вразливостей. Система захисту оновлюється згідно нових викликів», - зазначив віцепрем’єр-міністр – міністр цифрової трансформації Михайло Федоров.
Спеціально для Bug Bounty Мінцифра створила окреме середовище застосунку Дія, що не має зв’язку з банками, комерційними партнерами та держреєстрами. 329 хакерів виявили бажання отримати акаунти для входу до цього середовища. З них 36 подали 66 заявок про можливі вразливості.
Серед заявок:
- 42 було відхилено через невідповідність вимогам Вug Вounty,
- 10 заявок мали інформаційний характер,
- 7 дублікатів і всього 7 відповідали критеріям. У результаті 4 хакери отримали сумарно винагороду в розмірі $1900. А 3 заявки мали інформаційний характер та винагороди не отримали.
Що знайшли:
- «Найважчі» вразливості, які знайшли, рівня Р3. Вони були пов’язані з тестовим середовищем BugCrowd і до продуктового середовища Дії не мають стосунку. Виявили можливість отримати доступ до документації АРІ тестового сервісу Дія та входу будь-яким тестовим користувачем через налагоджувальне АPI. Хакери отримали винагороду в розмірі $700 та $750 відповідно.
- Один з учасників знайшов вразливість передостаннього рівня — P4. Вона пов’язана з можливістю підмінити назву банку після авторизації в ньому. Ця проблема не становить загрози для користувача, крім неправильної інформації на екрані. До того ж, щоб скористатись такою потенційною вразливістю, зловмиснику спершу треба отримати повний доступ до смартфона користувача. Проблему розв’язано завдяки впровадженню додаткових перевірок та виправленню API. За цю вразливість виплатили 250$.
- Також знайшли можливість підставити свої екрани поверх Дії (виконати фішинг) завдяки спеціальному застосунку на Android. Для того, щоб зробити це, треба мати безпосередній доступ до телефону, і користувач повинен встановити спеціальний софт. Але розробники Дії оцінили підхід рісерчера до проблеми: він надав тестовий зразок такого застосунку та відеозапис його використання. Проблему усунули в одному з апдейтів Дії. Рісерчер отримав 200$.
«Подібні тестування – стандартна практика для іноземних країн. Такі тести постійно проводять компанії Apple, Google, Facebook, Twitter, Microsoft. Реалізація багбаунті відбулася за підтримки міжнародної платформи Bugcrowd та проєкту Агентства з міжнародного розвитку США (USAID) «Кібербезпека критично важливої інфраструктури України», - інформує Мінцифра.
Як повідомляв Житомир.info, на початку лютого 2020 року у Києві офіційно презентували мобільний застосунок «Дія». З серпня 2021 року законом е-паспорт прирівняний до фізичних аналогів. В листопаді 2021 року Мінцифри запустило сім нових послуг в «Дії»: пенсії, субсидії, довідки про страховий і трудовий стаж.
