Стартовал поиск уязвимостей Яндекса

Служба Яндекса, ответственная за информационную безопасность, сообщила о том, что стартовал месяц по поиску уязвимостей системы. Отныне каждый человек может начать поиски уязвимостей сервисов Яндекса.

На протяжении всего месяца Яндекс будет собирать сообщения о выявленных уязвимостях. А 25 ноября 2011 года, на конференции ZeroNights, посвященной информационной безопасности, будут подведены итоги конкурса. Его победителю будет выплачено 5000 долларов.

Где же искать уязвимости?
На сервисах, находящихся на доменах:

• .ya.ru;
• .yandex.ru, com, com.tr, kz, ua, by, net, st;
• .moikrug.ru.

То есть на сервисах, на которых хранятся, обрабатываются или же используются конфиденциальные сведения о пользователях. К примерам личных данных можно отнести: личные видео- и фотоальбомы, переписка, аутентификационные сведения.

Что же именно искать?
Абсолютно любые уязвимости, использование которых привело бы к нарушению целостности, конфиденциальности либо же доступности информации о пользователях. К примеру, уязвимости, которые приводят к следующим атакам:

• Межсатовая подделка запросов (CSRF);
• Межсайтовый скриптинг (XSS);
• Разнообразные инъекции;
• Управление сессией, которая далеко небезопасна;
• Ошибки в механизмах авторизации и аутентификации, которые приводят к обходу указанных механизмов.