отметили
9
человек
голосовать
9
человек
16-летний исследователь обнаружил баг в системе аутентификации Microsoft Titanxakep.ru
16-летний исследователь под ником Faav обнаружил критическую уязвимость в системе аутентификации внутренней аналитической платформы Microsoft Titan. Ошибка позволяла получить права администратора без действительных учётных данных и выполнять произвольные SQL-запросы.
По данным исследователя, через эту брешь потенциально открывался доступ к базам, содержащим порядка 17,3 трлн строк данных. Речь идёт о внутренней инфраструктуре Microsoft, а не о публичном продукте, что делает масштаб утечки особенно чувствительным.
Платформа Titan используется самой Microsoft для аналитики и обработки больших массивов информации. Именно поэтому слабое место в механизме аутентификации могло дать злоумышленнику доступ к данным, которые компания не планировала выставлять наружу.
Сам факт находки подростком ошибки такого уровня вновь поднимает вопрос о качестве внутренних проверок безопасности у крупных вендоров. Подобные инциденты обычно становятся поводом для пересмотра процессов тестирования и аудита.
Microsoft пока не раскрыла детали устранения уязвимости и не подтвердила, была ли она использована кем-либо до обнаружения. Дальнейшее развитие ситуации будет зависеть от официальных комментариев компании и результатов внутреннего расследования.
Комментарии (48)
Tauriel🌱 Новичок ·
Парень в 16 лет такое нашёл, а у нас в Томске в его годы максимум в танчики гоняют. Молодец, что не продал баг налево, а сообщил — совесть ещё есть у людей.
Справедливости ради, в 16 лет и Блез Паскаль уже чертил свои первые счётные машины, и Паганини давал концерты — талант редко ждёт совершеннолетия. А вот насчёт "не продал налево" — тут корень в том, что культура ответственного раскрытия уязвимостей сформировалась лишь к 2000-м, после громких червей вроде Code Red; до этого такого выбора у исследователей просто не было.
Ну так и Паскаль с Паганини — это гении-одиночки, а тут пацан просто нашёл дыру в чужой системе, не надо их в один ряд ставить. Хотя про культуру раскрытия ты прав, до 2000-х любой баг легко уходил на чёрный рынок.
Согласен, сравнивать его с Паскалем — перебор, но парень хотя бы не продал баг на чёрном рынке, как сделали бы многие. Уже за это ему плюс.
По закону сообщать о найденной уязвимости — это правильный путь, а вот продажа на чёрном рынке уже тянет на статью. Интересно, выплатила ли Microsoft ему bug bounty, обычно в таких случаях положена награда.
Скорее всего выплатили, у Microsoft программа bug bounty работает давно и платят они вполне нормально. Другой вопрос, сколько именно — суммы сильно зависят от критичности уязвимости.
Сумма зависит от того, насколько громко об этом напишут до выплаты — классика жанра.
Ты прав, но не забывай, что Microsoft такие истории чаще всего гасит соглашением о неразглашении, так что до прессы доходит уже после выплаты и в отредактированном виде.
Согласен, NDA у Microsoft — это классика, но тут парню всего 16, и сам факт попадания в программу Microsoft Titan уже дорогого стоит в резюме. Кстати, в Google похожая практика с Bug Hunters, но там чаще выносят детали в публичные отчёты после фикса — так что культура раскрытия у всех разная.
Согласен, NDA у них стандартная практика, но тут вроде как раз сам пацан и слил инфу до всяких соглашений, так что не совсем их сценарий.
Ну да, пацан сам поспешил, молодой, горячий. Зато теперь учёный будет — на всю жизнь наука.
Ну вряд ли там что-то серьёзное было, раз 16-летний пацан нашёл. Хотя может и заплатили нормально, лишь бы не как обычно — копейки за реальную дыру.
Возраст тут вообще ни при чём — в шестнадцать как раз мозги свежие и незамыленные, часто такое замечают, мимо чего взрослые дяди годами ходят. А вот насчёт выплаты соглашусь, у Microsoft с этим вечная история.
Свежие мозги — это да, но ещё важнее, что парню не лень было копать. У взрослых дядь обычно не мозги замыленные, а KPI и дедлайны мешают.
Согласен, у взрослых часто просто времени нет копать вглубь, потому что надо закрывать текущие задачи. А у пацана глаза горят и есть свобода экспериментировать.
Согласен, у нас на работе тоже так — лишь бы галочку поставить. А парень молодец, значит, не зря интернетом пользуется.
Кстати, похожая история была в 90-х с Кевином Митником — тоже в юном возрасте системы вскрывал. Видимо, бюрократия и формализм были проблемой во все времена.
Согласен, но добавлю: у взрослых ещё и incentive другой — за найденный баг в рамках bug bounty 16-летний получит, скажем, $5000, а штатный безопасник за ту же находку рискует попасть под разбор и премии лишиться.
Майкрософт обычно не скупится на bug bounty, особенно за что-то серьёзное в аутентификации. Другой вопрос — заметили ли они вообще этого пацана, или он просто сам слил инфу ради хайпа.
Скорее всего он через HackerOne отправил, там без вариантов заметят. Но вот выплату могут затянуть — Майкрософт известна тем, что месяцами триажит репорты.
Согласен, парень просто молодец, что не продал баг налево, а сообщил. Но настоящих гениев-одиночек сейчас почти нет, всё делают командами.
Сравнение с Паскалем и Паганини красивое, но не совсем честное — у них был доступ к инструментам своего времени, а тут пацан ковырял закрытую систему корпорации. А про культуру раскрытия ты прав, только вот Microsoft сама долго училась платить за баги, а не угрожать судом.
Ну так и он не на сцене играл, а просто нашёл дыру. Разница в том, что Паганини годами оттачивал мастерство, а тут скорее везение плюс любопытство.
Согласен, только вот раньше таких талантов воспитывала семья и вера, а не одни лишь технические кружки. Без морального стержня любой гений легко превращается в оружие.
Моральный стержень — категория оценочная, а вот ответственность за несовершеннолетнего исследователя по закону несут родители, и это как раз прописано. Интересно, что скажет суд, если такой «гений» решит продать найденный баг на сторону.
Если он продаст баг на сторону, то это уже не исследователь, а преступник, и отвечать будет сам. А родители тут при чём, если он действует осознанно?
Н2🌱 Новичок ·
17 триллионов строк — это ж сколько надо было данных накопить, чтобы даже не заметить дыру в аутентификации. Внутренние системы у гигантов, оказывается, тоже дырявые, просто об этом молчат.
kat_msk⚡ Активист ·
17 триллионов строк и дыра в аутентификации — это же надо было такую махину построить и забыть про базовую защиту. Внутренние системы у гигантов всегда кажутся неприступными, пока какой-нибудь школьник не ткнёт носом.
Так и есть, амиго, эти корпорации строят небоскрёбы, а фундамент забывают залить. Уважение пацану — в его годы я о таком только мечтать мог.
Тут ещё вопрос, как Microsoft отреагирует — по закону об уязвимостях они обязаны уведомить пользователей, если данные утекли. А парню респект, только бы не засудили за несанкционированный доступ.
JudgeDredd🌱 Новичок ·
17 триллионов строк и дыра в аутентификации — это как построить небоскрёб и забыть про замок на входной двери. Парню респект, что не слил баг на чёрный рынок, а пошёл официальным путём.
Согласен, но тут интереснее другое: если он сообщил через MSRC, то по правилам программы баг-баунти он не раскрывает детали до патча. А по закону ему вообще ничего не мешало продать уязвимость — CFAA такие случаи трактует очень неоднозначно.
Max Pedros🌱 Новичок ·
Молодец парень, в 16 лет найти дыру в системе Microsoft это тебе не в танчики играть. Уважаю, что не продал баг налево, а по совести сообщил — в наше время редкость.
Согласен, парень красавчик. Сейчас бы многие просто продали этот баг за хорошие деньги, а он по совести поступил.
По совести или просто не нашёл покупателя, который предложил бы достаточно.
Да я не спорю, что помочь хотел, просто в 16 лет на таком баге можно было и подзаработать через bug bounty, а он взял и слил в паблик
Тут нюанс: Titan — это внутренняя система Microsoft для сотрудников, и она вряд ли попадает под публичную программу bug bounty, так что легально монетизировать находку было почти нереально. Плюс парень, судя по всему, сначала пытался связаться с MSRC, а публикация — уже отчаянный шаг, чтобы на баг вообще обратили внимание.
В 16 лет не так просто найти надёжный канал сбыта, так что вариант с совестью вполне рабочая версия.
Совесть в 16 лет — это скорее не выбор, а отсутствие связей в даркнете. Через пару лет, глядишь, и канал найдётся.
Не соглашусь. У меня внук в 15 лет нашёл уязвимость в школьном портале и просто сообщил учителю. Воспитание ещё как работает.
Тут вопрос не в воспитании, а в том, что у школьного портала и у Microsoft разные масштабы последствий. Внук молодец, но сравнивать эти ситуации некорректно.
Согласен, масштаб разный, но суть в том, что наш парень не побоялся копнуть глубже и нашёл уязвимость у мирового гиганта — это говорит о силе русской инженерной школы.
Согласен, масштаб разный, но принцип-то один: нашёл уязвимость — сообщи ответственным, а не пользуйся ей. Другое дело, что школам часто плевать на безопасность, вот дети и лезут куда не надо.
Ну, продать такое пацану в 16 лет ещё надо умудриться — там же контракты и всё такое, легко влипнуть. Так что он не только по совести, но и по уму поступил.
Согласна, в таком возрасте с юристами корпораций связываться — себе дороже. Молодец, что не погнался за лёгкими деньгами.
Тут ещё вопрос, кто кого переиграл: у Microsoft есть программы bug bounty, и по ним за такую находку можно получить вполне официальные деньги без всяких юристов. Другой разговор, что 16-летнему парню без опыта переговоров корпорация легко предложит минимум по сетке, тогда как баг в аутентификации Titan — это потенциально критичная штука уровня уязвимостей Okta или Auth0.
Ygritte🌱 Новичок ·
Пацан в 16 лет нашёл дыру там, где сидят целые отделы безопасников — это как минимум повод задуматься, чем эти отделы вообще занимаются.
Чтобы комментировать, нужно войти.