[Satan_Was_a_Babyboomer]

W świecie, gdzie wielkie firmy technologiczne jak Google czy Apple płacą fortuny za odkrywanie luk w swoich systemach, w Polsce mamy... inne standardy. Przykład pierwszy z brzegu: konflikt Dragon Sector, elity polskich hakerów, z Newagiem. Kiedy Dragon Sector wskazał na krytyczne luki w oprogramowaniu używanym przez firmę, reakcja Newagu była, cóż... "oryginalna". Zamiast współpracy czy wdzięczności, przyszły pozwy i oskarżenia o naruszenie praw autorskich.

A teraz perełka. Łukasz Firek, specjalista ds. bezpieczeństwa, postanowił pochylić się dla jaj nad API portalu Rynekpierwotny.pl i odkrył błąd który doprowadzał do wycieku danych (zabezpieczyli dane tylko na froncie) i o którym poinformował ten portal . Był to problem, który powinien alarmować każdą poważną firmę – ale reakcja portalu była może i powolna (pół roku im zajęło załatanie błędu xDD) ale za to równie "profesjonalna", co parkingi zalewane po deszczu przy nowych osiedlach.

Co Łukasz dostał za swoje odkrycie? Trzy miesiące darmowego dostępu do portalu. Tak, nagrodzono jego czas, wiedzę i dobre intencje subskrypcją serwisu, który – paradoksalnie – sam musiał zabezpieczać. I tutaj rodzi się pytanie: może oni wiedzą, że te dane są bezwartościowe, i dlatego zaoferowali tak niską nagrodę za ich ochronę? xDDDD

To trochę jak w przypadku patodeweloperki: płacisz krocie za mieszkanie z widokiem na śmietnik, a potem okazuje się, że deweloper żąda od ciebie dodatkowych opłat za parking... pod wodą. Czy to przypadek, że tak często podobne standardy przenikają z branży nieruchomości do sektora IT? Może to jakiś krajowy trend, gdzie jakość i odpowiedzialność to tylko opcjonalne dodatki?

I tak oto mamy kolejną odsłonę klasycznego motywu "W Polsce jak w lesie". Ludzie, którzy próbują poprawić bezpieczeństwo i jakość usług, są traktowani jak problem, który trzeba rozwiązać – a nie partnerzy, których warto docenić. W końcu lepiej udawać, że problemu nie ma, niż się nim zająć, prawda?

Brawo, Rynekpierwotny.pl, za wprowadzenie nowego standardu w polskim cyberbezpieczeństwie: pracuj za darmo, ratuj nas przed katastrofą, a w zamian dostaniesz "prezent" w postaci czasowego dostępu do portalu. To tak, jakby deweloper dał ci trzy miesiące korzystania z klatki schodowej gratis.

https://x.com/l_firek/status/1872570108968677552

#nieruchomosci #cybersecurity #informatyka #programowanie #heheszki

[bulbulator12345]

@Satan_Was_a_Babyboomer mogli mu chociaż zaproponować konsultację z Prajsnarem, może by się czegoś dowiedział, np. tego że ceny będą tylko rosły.

[paki82]

@Satan_Was_a_Babyboomer: mogli mu dac ebooka jak inwestować i zostać zwycięzcą, albo jak z 2 pokojowego mieszkania 30 metrów zrobić 3 promiloapartamenty ze wspólnym sraczem

[Satan_Was_a_Babyboomer]

@paki82: Albo kurs inwestowania w Batumi xD

[konto_dla_trybu_nocnego]

Kiedy Dragon Sector wskazał na krytyczne luki w oprogramowaniu używanym przez firmę, reakcja Newagu była, cóż... "oryginalna"

@Satan_Was_a_Babyboomer: przeciez to nie luki tylko celowe działanie xd

[YourNightmare]

@Satan_Was_a_Babyboomer: No dobra tylko nikt mu nie zlecił ekspertyzy. Zrobił to z własnej woli. Mieli mu zapłacić za to?

[GoracyStek]

Kiedy Dragon Sector wskazał na krytyczne luki w oprogramowaniu używanym przez firmę, reakcja Newagu była, cóż... "oryginalna".

@Satan_Was_a_Babyboomer: jakie luki? to był feature żeby nie dało się serwisować lokomotyw poza newagiem

[Satan_Was_a_Babyboomer]

@YourNightmare: no nie xD Ale jak z własnej woli robisz znajdujesz błąd to mogli dać chociaż roczny/dożywotni dostęp do ich portalu a nie masz pan triala 3 miesiące i s--------j xD

[AusserKontrolle]

@Satan_Was_a_Babyboomer: Polskie firmy mają w------e na bezpieczeństwo. Ja znalazłem IDOR i dostałem odpowiedź "wiemy o tym błędzie" XD Zero bug bounty, czegokolwiek. Nic.

[hipokryzjawkutos]

@konto_dla_trybu_nocnego: tak sie wykrywa luki xD

[fervi]

@Satan_Was_a_Babyboomer: Fajnie, że duże firmy technologiczne płacą, ale zakładam, że "Rynekpierwotny.pl" nie jest taką firmą.

Chociaż fakt, u nas kuleje takie coś

[R4vPL]

@Satan_Was_a_Babyboomer niestety brak bug bounty to chleb powszedni pentestera, a często nawet jeśli bug bounty jest to np w ograniczonym scope, bądź z niskimi wypłatami, duplikaty i masa innych problemów związanych z tym.

[magnat32]

@Satan_Was_a_Babyboomer kiedys kilkanascie lat temu duzo serwerow online bylo postawionych na myadmin
Byla taka fajna luka ze przewanie nikt nie zmienial hasla :)
Bylo wtedy eldoradu tyle co wycieklo danych i hasel to te przecieki teraz nie robia wrazenia, kiedys nie bylo dwu stopowej werfikacji, przewaznie kazdy uzywal jednego loginu i hasla...

[jediwolf]

Cybersec w Polszy to nieśmieszny żart. Ale jeszcze to wszystko wystartuje, jak parę większych firemek upadnie, bo miało wszystko gdzieś ( ͡° ͜ʖ ͡°)

[spidero]

to trochę nie tak dragon sector nie wskazał łuk w sofcie newagu. tylko celowo wprowadzone blokady przez nich

[Isomane]

@Satan_Was_a_Babyboomer:

Google czy Apple płacą fortuny za odkrywanie luk w swoich systemach

To co wydają Google i Apple za luki to dla nich śmiesznie niskie kwoty, aż posunąłbym się do stwierdzenia, że zdecydowanie o wiele za mało, biorąc pod uwagę jak istotne są te systemy dla funkcjonowania współczesnego świata. Gdyby ceny były adekwatne to ludzie nie posuwaliby się do podejmowania ryzyka konsekwencji sprzedaży zero-day'ów na czarnym rynku, gdzie za ten

[diamondzik]

Parsknalem śmiechem. Wskazałem kilka literówek i martwych odnośników w dość powaznej firmie odzieżowej nie licząc na nic. Zwrotnie dostałem podziękowanie pisemne, poprawiono wszystko w ciągu 24h a ja dostałem jeszcze kod -30% na dowolnie wybrane przeze mnie ciuchy.

[figus102]

@Satan_Was_a_Babyboomer:
jprdl. co ja czytam? XD

Kiedy Dragon Sector wskazał na krytyczne luki w oprogramowaniu używanym przez firmę, reakcja Newagu była, cóż... "oryginalna". Zamiast współpracy czy wdzięczności, przyszły pozwy i oskarżenia o naruszenie praw autorskich.

[larkinflight]

@Satan_Was_a_Babyboomer a zagraniczne firmy płacą sporo za pentesty.. debile ( ͡º ͜ʖ͡º)

[Bigbluee]

@Satan_Was_a_Babyboomer: Jakie to ma znaczenie czy to branża IT, automotive czy ciuchy? W każdej firmie nad inżynierami w 1 lub 2 linii stoi debil którego zadaniem jest ciąć koszty i zarządzać "po Januszowe u" czyli doić wszystkich i się nie przyznawać do niczego oraz wykazywać zielonego Excela. To wszystko generuje patologię w firmach i bez znaczenia jest branża bo rozlewa się to na wszystkie działy.

Pokazał jak zamówić w McDonaldzie dowolną