До 25 ноября 2011 года предлагается найти существенные уязвимости в сервисах Яндекса и социальной сети «Мой Круг», которые работают и обрабатывают персональные данные пользователей, за исключением сервиса Яндекс.Деньги;
Уязвимости будут проанализированы группой экспертов, а результаты конкурса будут объявлены 25 ноября 2011 г.
Участник, который первый нашел и сообщил о самой критической уязвимости получает приз – $5,000.
Если сумма конкурса не показалась слишком маленькой, то приблизительный список уязвимостей, которые необходимо искать:
Межсайтовый скриптинг (XSS); межсайтовая подделка запросов (CSRF); небезопасное управление сессией; инъекции; ошибки в механизмах аутентификации и авторизации, которые позволяют обходить эти механизмы.
Искать на сервисах Яндекса, расположенных в доменах:
*.yandex.ru, com, com.tr, kz, ua, by, net, st;
*.ya.ru.
*.moikrug.ru.
Обратите внимание, что к участию не принимаются уязвимости в сервисе Яндекс.Деньги !
Кроме того, уязвимости за которые не дадут приз:
● уязвимости сетевой инфраструктуры Яндекса (почтовые серверы, jabber, FTP-серверы и так далее);
● сторонних сайтов и сервисов, взаимодействующих с Яндексом;
● не дают за уязвимости сервиса Яндекс.Деньги;
● пользовательских аутентификационных данных (например, слабые пароли);
● уязвимости, которые приводят к возможности совершения DoS- или DDoS-атак;
● уязвимости с использованием техник социальной инженерии, например, фишинга.
Детальное описание проблемы отправляйте письмом на security-report@yandex-team.ru. В письме укажите название сервиса, на котором обнаружена уязвимость; имя уязвимого скрипта, функции или передаваемого параметра; пошаговое описание действий, которые должны быть выполнены для воспроизведения уязвимости.
К письму приложите скриншоты, если это необходимо. Яндекса для передачи зашифрованного сообщения.
Обратите внимание, что тестировать и демонстрировать уязвимость разрешается только на своей тестовой учётной записи. Взламывать чужие учётные записи ни в коем случае нельзя;
В течение 90 дней с момента отправки информации об уязвимости в Яндекс нельзя раскрывать подробности о ней третьим сторонам, в том числе публиковать их в открытых или закрытых источниках.
После отправки письма, ждите ответа. (PDF)
Напомним, что подобная практика вовлечения сторонних специалистов по безопасности через конкурс не первая, по такому пути пошла Google, когда объявила конкурс, в котором участникам предлагалась найти уязвимости в браузере Google Chrome. Было обнаружено 18 уязвимостей; из них 11 получили статус «high». За найденные уязвимости было выплачено вознаграждение порядка $26,000.
