На этой неделе Госдума РФ отклонила законопроект, в рамках которого предлагалось легализовать деятельность «белых» хакеров. Это решение было принято после получения соответствующих рекомендаций от профильного комитета Госдумы по государственному строительству и законодательству.

Источник изображения: Kevin Ku / Unsplash

Вопрос легализации в России деятельности хакеров, которых компании привлекают к тестированию своих информационных систем, обсуждается с 2022 года. Тогда Минцифры работало над тем, чтобы ввести в правовое поле понятие «bug bounty» — поиск уязвимостей в программном обеспечении за вознаграждение.

Сейчас профильный комитет считает, что внесённый в 2023 году группой депутатов законопроект не учитывает особенностей информационного обеспечения работы госорганов. Эта работа регулируется законодательством о государственной тайне, об информации, о безопасности критической информационной инфраструктуры, к которой относятся сети связи и информационные системы госорганов, транспортных, энергетических, финансовых и некоторых других предприятий.

Причиной отклонения законопроекта также стало отсутствие необходимых изменений в других законах. Чиновники посчитали, что для легализации «белых» хакеров необходимо комплексно менять законодательство, в том числе и уголовное право. Эти изменения должны определить правила поиска уязвимостей, а также снизить связанные с этим риски. На данный момент такие поправки ещё не были внесены. Законопроект подразумевал, что о найденных уязвимостях можно уведомлять разработчика продукта. В комитете считают, что в случае, если разработчик находится в недружественной юрисдикции, передача данных об уязвимостях может нести угрозу национальной безопасности России.

Представитель Минцифры рассказал, что ведомство считает целесообразным внесение комплексных изменений в рамках легализации «белых» хакеров. В настоящее время министерство вместе с заинтересованными госорганами ведёт обсуждение инициативы по определению требований и правил при проведении мероприятий по поиску уязвимостей, а также законодательной ответственности в случае их нарушения. Один из авторов отклонённого законопроекта, член IT-комитета Госдумы Антон Немкин, сообщил о намерении повторно внести инициативу в составе пакета законопроектов, касающихся правового статуса и правил деятельности специалистов по информационной безопасности, проводящих тестирование IT-систем с целью поиска уязвимостей.

Напомним, в марте этого года сенатор Артём Шейкин предлагал ввести две формы проведения поиска уязвимостей с целью легализации деятельности «белых» хакеров. Речь идёт о закрытой форме, предполагающей привлечение ограниченного круга исследователей, и открытой, принять участие в которой сможет неограниченное число исследователей. В дополнение к этому он предлагал обязать операторов и владельцев информационных систем публиковать форму для сообщения о найденных в их системах уязвимостях, а также рассмотреть вопрос целесообразности использования платформы «Госуслуг» для идентификации «белых» хакеров.

В соответствии с законом «О создании многофункционального сервиса обмена информацией» правительство планирует запуск национального мессенджера на базе платформы Max от российской компании VK. Министр цифрового развития России Максут Шадаев пообещал представить национальный мессенджер уже этим летом. Разработчики сервиса присоединились к программе для «белых хакеров» Bug Bounty и обещают премии до 5 млн рублей за найденные в приложении уязвимости.

Источник изображения: max.ru

Размер премий зависит от степени критичности выявленной проблемы. На первом месте — защищённость персональных данных пользователей. Уязвимости и ошибки можно искать в мобильном приложении, а также в версии для настольных компьютеров и в веб-интерфейсе. Программа VK Bug Bounty доступна на платформах Standoff Bug Bounty, BI.ZONE Bug Bounty и BugBounty.ru.

Бета-версия Max была запущена в конце марта 2025 года, а в конце июня платформа достигла отметки в 1 млн ежедневных пользователей. Сервис должен обеспечить создание доверенной и безопасной среды для общения россиян, его можно будет использовать для удостоверения личности вместо бумажных документов.

Ожидается, что в дополнение к функциям обмена данными сервис обеспечит доступ к государственным и муниципальным услугам. Также на платформе разместятся образовательные сервисы. В дальнейшем, после подключения сервиса к системе «Госключ», появится возможность использовать усиленную цифровую подпись.

24 июня Владимир Путин подписал Федеральный закон № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации». Документ опубликован на официальном интернет-портале правовой информации.

AMD заключила соглашение с краудсорсинговым поставщиком услуг безопасности Intigriti для запуска программы вознаграждения за обнаружение проблем. Исследователи безопасности и этичные хакеры смогут сообщать об уязвимостях и ошибках в оборудовании, прошивках или программном обеспечении AMD через платформу Intigriti, и получать за это денежное вознаграждение. Размер вознаграждения составит от $500 до $30 000 в зависимости от серьёзности обнаруженной проблемы.

Ранее подобная программа AMD распространялась лишь на узкий круг избранных «придворных» исследователей. Новая инициатива позволит привлечь широкий круг тестировщиков и экспертов к поиску проблем в продуктах AMD. Вознаграждения, предлагаемые AMD на платформе Intigriti, зависят от серьёзности ошибки и категории продукта.

Безусловно, исследователь по-прежнему может отправить отчёт о проблеме непосредственно в AMD через её команду по безопасности продуктов, но этот путь не гарантирует оплаты, хотя в бюллетене по безопасности упоминание о нашедшем ошибку появится.

Программы поиска ошибок (Bug Bounty) много значат для крупных технологических компаний, чьи продукты и услуги широко используются и могут повлиять на миллионы клиентов. В случае AMD достаточно вспомнить уязвимость ко взлому через модуль безопасности TPM у процессоров AMD Zen 2 и Zen 3, уязвимость Inception в процессорах AMD Zen 3 и Zen 4, уязвимость Zenbleed в системы на базе Zen 2, множественные ошибки в библиотеке AMD AGESA для BIOS материнских плат с чипсетами AMD 600-й серии для процессоров Ryzen 7000 или зависание ядра серверных процессоров EPYC 7002 Rome.

Другие крупные корпорации технологического сектора также имеют программы вознаграждения за обнаружение ошибок, помогающие гарантировать, что их системы и продукты защищены от необнаруженных уязвимостей, например, Intel Project Circuit Breaker.

Успешные «охотники за багами» могут неплохо зарабатывать — многие этичные хакеры ещё в 2020 году получали более $90 000 в год. В 2023 году Google выплатила в сумме не менее $10 млн в качестве вознаграждения за обнаружение ошибок, а Polygon Technology выплатила $2 млн исследователю, обнаружившему критическую ошибку.

Компания Microsoft объявила о запуске программы поиска уязвимостей в сфере ИИ. Основная цель этой инициативы — выявление уязвимостей, которые могут существенно сказаться на безопасности пользовательского опыта при использовании ИИ-ориентированного сервиса Bing. Программа предоставляет исследователям со всего мира возможность получить вознаграждение в размере от $2 000 до $15 000 за квалифицированные отчёты о найденных уязвимостях.

Источник изображения: Microsoft

Целью Microsoft является привлечение внимания экспертов в области безопасности к анализу работы генеративного чат-бота Bing и его интеграции в другие продукты компании. В программе могут участвовать исследователи не младше 14 лет, при условии получения разрешения от законного представителя для несовершеннолетних участников. Сотрудники государственного сектора также имеют право на участие в программе. Однако в этом случае вознаграждение будет перечислено на счёт их организации, что должно быть подтверждено подписью уполномоченного лица.

Программа поиска уязвимостей охватывает работу ИИ Bing на сайте bing.com, его интеграцию в браузер Microsoft Edge, приложение Microsoft Start и мобильное приложение Skype. Исследователи должны удостовериться, что уязвимость не была зарегистрирована ранее, относится к категории «критическая» или «важная» по классификации Microsoft и может быть воспроизведена на последней версии продукта с чёткими инструкциями по воспроизведению уязвимости. Все выявленные уязвимости в указанных продуктах принимаются к рассмотрению и могут принести участникам значимое вознаграждение.