Etický hacker Juraj Bednár: Hackeri sa firmám zídu

Ako by ste definovali etického hackera?

Etický hacking je hľadanie bezpečnostných zraniteľností s cieľom zlepšiť bezpečnosť. Od neetického sa líši v tom, že etickí hackeri sa pred útokom vopred dohodnú s majiteľom alebo správcom webu či aplikácie, že ho napadnú.

Aj ten neetický hacker môže mať za cieľ zlepšenie bezpečnosti, ako to bolo napríklad pri afére hacknutia NBÚ pred pár rokmi. Ale v tomto prípade najprv našli zraniteľnosť a až potom o nej informovali. Etický hacking sa vždy robí až po podpísaní zmluvy.

Etický hacking sa už využíva dlhšie. Kam sa táto brandža posúva?

Spolu s konkurenčným firmami sme založili bug bounty program Hacktrophy. Je to spôsob, ako prilákať etických hackerov z celého sveta, aby kontinuálne skúšali bezpečnosť aplikácie. Ak nájdu nejakú dieru, dostanú odmenu.

Rozdiel oproti penetračnému testu je, že ten robíme raz za rok–dva preventívne alebo keď príde nová verzia aplikácie. Zmeny v aplikáciách sa však robia stále.

Preto neradi dávame záruku bezpečnosti, pretože hodinu po nás môže niekto urobiť zmenu v systéme a vytvoriť novú bezpečnostnú dieru. Hacktrophy kontroluje bezpečnosť kontinuálne. Je to prvý bug bounty program v Európe, ktorý je v súlade s legislatívou EÚ.

Spoluzakladateľ Citadelo a etický hacker Juraj Bednár Zdroj: Martina Brunovská

Nerobí to pravidelne Microsoft a iné veľké spoločnosti?

Rozdiel je, že veľké firmy už majú bezpečnosť pomerne dobrú, a teda aj odmeny sú mnohonásobne vyššie. Ale nájsť dieru v prehliadači Chrome môže znamenať aj pár mesiacov práce. V našom bug bounty programe pre bežné firmy nájdu hackeri dieru často už v prvý deň.

Ceny si určuje zákazník a vždy takú, aby to bolo úmerné podmienkam. Ak mám stránku s blogmi, dám odmenu 30 eur. Ale keď som nemocnica, môže ísť o 20-tisíc eur, lebo objavenie chyby môže mať omnoho väčší dosah.

Aký druh hackingu môžu slovenské firmy očakávať najčastejšie?

Automatizované útoky, ktoré používajú boty. Plošne prehľadávajú internet, aby našli nejakú zraniteľnosť a automaticky stiahli databázu. Je to najčastejší druh, pretože je najlacnejší. Nie je nutné vyhľadávať cieľ, robí sa plošne.

Raz sa robil test, keď úplne panenský počítač pripojili bez firewallu do verejnej siete. Do štyroch hodín bol