Zašto je ruski haker dobio 40.000 dolara od Fejsbuka?

Andrej Leonov je čovek kome je društvena mreža Fejsbuk isplatila rekordni honorar od 40.000 dolara za pronađenu grešku u programskom kodu. Mnogi mediji su saopštili vest da je ruski haker provalio u najveću društvenu mrežu i za to dobio nagradu. Leonov uporno ponavlja: „Ja nisam haker, ja sam stručnjak za sajber-bezbednost". 

Razlika je u tome što on igra na strani „belih“, tj. nalazi greške u programima, i obaveštava o tome njihove vlasnike. „Glavno pravilo prilikom istraživanja je da se ne zalazi duboko. Hakeri zađu dalje, a istraživači kao ja pronađu ’tačku ulaska’ i kažu: ’eto toliko, dalje proveravajte sami’“, ispričao je Leonov u intervjuu za „Rusku reč“.

Andrej je odrastao u Sankt Peterburgu i studirao na tehničkom fakultetu. Sada već ima preko trideset godina, ali ne želi da govori o svom uzrastu, kao ni o politici, aferama vezanim za hakerske napade na Demokratsku stranku SAD i informacijama da iza tih napada tobože stoje ruski hakeri. „Ruski hakeri im sada služe za zastrašivanje, kao votka i medvedi. Pojedinim ljudima je potreban neprijatelj da bi opravdali neke svoje poteze. A nevidljivi neprijatelj je veoma zgodan“, smatra Leonov.

Ono što je on samostalno uradio za Fejsbuk je jednostavno hobi, tvrdi Leonov: „Ja radim samostalno. Neko igra poker, neko peca ribu, a ja tražim greške u programima“.

Veliki bag

„Odgovorni izvestilac je saopštio o velikom bagu i dobio 40.000 dolara“ – takvu poruku je 17. januara na Tviteru napisao rukovodilac odeljenja za informacionu bezbednost Fejsbuka Aleks Stamos. „Drago mi je što sam jedan od onih koji su provalili u Fejsbuk“, napisao je Leonov u svom blogu, kada je saznao da je dobio nagradu od kompanije. Pre njega je najveći honorar od ove društvene mreže iznosio 33,5 hiljada dolara. Njega je 2014. godine dobio brazilski istraživač bezbednosti Režinaldo Silva.

U aprilu prošle godine drugi istraživači su otkrili grešku na ImageMagic, jednom od rasprostranjenih modula za obradu slika. Pomoću njega se, na primer, vrši podešavanje veličine i konvertovanje slika u vestima na Fejsbuku.

Leonov je obratio pažnju da opcija „proširiti vest na Fejsbuku“ uzima naslovnu sliku vesti sa trećih servera. Pri tome se ispostavilo da Fejsbuk, a utoliko pre bibilioteka ImageMagic, ne proverava da li je taj preuzeti fajl zaista u formatu JPEG, ili je to nešto drugo. „Kada sam to primetio mogao sam da ne proverim taj problem. A problem je u tome što jedan servis, u ovom slučaju Fejsbuk, obrađuje nešto što on tretira kao sliku, a čime ja mogu da upravljam, i čiji sadržaj mogu da menjam“, rekao je on.

Prema klasifikaciji međunarodnog konzorcijuma za bezbednost OWASP, takav bag ima najviši rejting. Ali njegova opasnost u velikoj meri zavisi od toga gde se taj kod realizuje. „Zamislimo da je kompjuter izolovan od interneta i čitave infrastrukture kompanije. Izvršavanje koda na njemu nije dobro, ali nije ni pogubno. Međutim, ako je to kompjuter koji ima pristup bazi podataka korisnika – onda je to veoma loše“, istakao je Leonov. On se povezao sa tehničkom podrškom društvene mreže i greška je ispravljena u novembru 2016. godine.

Hakerska 3D vizualizacija – samo na filmu

Sada Leonov radi u odeljenju za bezbednost međunarodne IT kompanije SEMrush, koja pravi instrumente za onlajn marketing, a slobodno vreme provodi na kraudsorsing platformama, gde kompanije razmeštaju oglase za testiranje proizvoda. Na platformi Bugcrowd Leonov spada među 100 najboljih istraživača, a među klijentima ove i drugih platformi ima i drugih kompanija kao što su General Motors, Uber, Yahoo, Pinterest i Mail.ru.

Leonov tvrdi da posle pronalaska greške u programu Fejsbuka nije bio zatrpan poslovnim ponudama ili narudžbinama, i da će „ostati ono što je bio“.

On ne veruje u neku posebnu rusku školu ili ruske metode. Postoje pametni momci koji se svuda rađaju. A bagovi su mogući svuda, tvrdi on: „Ja koristim uobičajene internet servise koje koristi svako. Na primer, nemam Instagram, ali ne zato što je on loš, nego jednostavno ne fotografišem svoju hranu i samoga sebe u liftu“.

„Iritira me sama činjenica da prosečan korisnik ima najviše tri šifre, jedna je za svakojake sitnice, druga za važne sajtove, a treća je šifra od najvažnije pošte pomoću koje su registrovani svi ostali nalozi. I to je tako u najboljem slučaju“, kaže Leonov.

Govoreći o svom hobiju tvrdi da je u stvarnosti traženje bagova veoma dosadan proces i da nije nimalo atraktivan. „Nema nikakvih 3D vizualizacija kao u filmovima o hakerima“, kaže Leonov sa osmehom.

Jekaterina Sineljščikova,
Ruska reč