Автор: 
Компания Яндекс запускает конкурс по усилению защиты данных в рамках программы «Охота за ошибками». Этичным хакерам предстоит искать в сервисах компании ошибки и уязвимости типа XSS, которые могут привести к раскрытию чувствительной информации. Злоумышленники могут использовать уязвимости такого типа для атаки на приложения и сервисы. Они ищут способы обойти политики безопасности, вставить вредоносный код на веб-страницы и атаковать аккаунты, чтобы совершать действия на сайте от имени пользователей.
Яндекс борется с XSS-атаками и снижает риски внедрения вредоносного кода с помощью специальных мер. Например, в сервисах используется Content Security Policy — международный стандарт, который позволяет указывать, из каких источников сайт может загружать скрипты, картинки, шрифты и другой контент. Он затрудняет выполнение на сайте вредоносного кода и блокирует загрузку контента из недостоверных источников. Для проверки возможных уязвимостей участники должны использовать только собственные тестовые аккаунты, пытаться получить доступ к информации других пользователей запрещено.
Во время конкурса награда за все типы XSS-уязвимостей увеличена в несколько раз. Она будет зависеть от критичности уязвимости, простоты её использования и влияния на безопасность данных пользователей и партнёров. Максимальная награда за критическую уязвимость составит 500 тысяч рублей. Списки ошибок и уязвимостей для «охоты», а также размеры наград за их обнаружение можно посмотреть на сайте. Конкурс продлится до 31 января 2024 года. Яндекс отдаст приоритет всем найденным ошибкам и оперативно их исправит.
