PayPal подтверждает уязвимость безопасности, выплачивает вознаграждение этичному хакеру

За сообщение о нарушении безопасности, которое могло привести к раскрытию пароля пользователя хакеру, PayPal выплатила этическому хакеру Алексу Брисану вознаграждение в размере пятнадцати тысяч трехсот долларов ($15,300). PayPal открыто признал, что Брисан, исследователь, обнаружил нарушение и сообщил об этом.

Брисан сообщил о нарушении 8 января, однако PayPal уже исправил сбой с декабря, но все равно наградил Брисана.

Этический хакер, также известный как хакер в белом, — это эксперт по информационной безопасности, который систематически пытается проникнуть в компьютерную систему, сеть, приложение или другие вычислительные ресурсы от имени их владельцев — и с их разрешения — чтобы найти уязвимости безопасности, которые мог бы использовать злонамеренный хакер.

Брисан написал в своем публичном раскрытии, что то, что произошло, — это история бага высокой серьезности, затронувшего одну из самых посещаемых страниц PayPal, относящуюся к форме входа. Он обнаружил нарушение, исследуя основной поток аутентификации в PayPal.

Пробелы в безопасности PayPal

Согласно Брисану, его внимание привлекло то, что файл JavaScript (JS) содержал то, что выглядело как токен CSRF (межсайтовая подделка запроса) и идентификатор сеанса. Предоставление любых данных сеанса внутри действительного файла javascript, по словам Бирсана, обычно позволяет злоумышленникам извлекать их.

В том же свете PayPal подтвердили, что конфиденциальные уникальные токены утекали в файле JS, используемом реализацией ReCaptcha. В определенных случаях пользователям приходилось решать задачу CAPTCHA после аутентификации, и PayPal отметил, что раскрытые токены использовались в POST-запросе для решения CAPTCHA.

PayPal также подтвердил, что после решения капчи пользователю затем нужно будет перейти на другой (вредоносный) сайт и ввести свои учетные данные PayPal. Это позволит хакеру завершить проверку безопасности, которая затем создаст запрос на повторную аутентификацию для показа пароля.

PayPal далее объяснил, что, однако, раскрытие происходило только в том случае, если пользователь следует по ссылке для входа с вредоносного сайта.

Платформа подключения этических хакеров

Для продвижения кибербезопасности организация, HackerOne, предоставила платформу, которая соединяет этических хакеров с организациями, которые выплачивают вознаграждения за уязвимости, найденные в их программном обеспечении, услугах или продуктах.

Один хакер, по сообщениям, смог взломать саму платформу HackerOne и заработал себе $20,000.

Помимо этого, существуют хакерские соревнования, где этическим хакерам предлагается участвовать в поиске возможных нарушений безопасности. Одним из таких соревнований по взлому Pwn2Own является конкурс, который проводится в марте, где любой, кто сможет взломать электромобиль Tesla Model 3, получит $700,000 и совершенно новую Tesla Model.

Apple также подтвердила, что любой, кто взломает iPhone, получит вознаграждение в размере 1,5 миллиона долларов.

Главное изображение от Pixabay