Yra du būdai interpretuoti naujieną, kad miesto skelbtas saugumo spragų konkursas išnaudojo visą metinį biudžetą per savaitę. Pirmasis, oficialus – tai „rekordinis susidomėjimas“ ir „auganti etiško įsilaužimo bendruomenė“. Antrasis, kur kas realistiškesnis – Vilniaus savivaldybės skaitmeninės sistemos turi tiek skylių, kad net kuklus 40 tūkstančių eurų fondas ištirpo greičiau, nei spėjai perskaityti pranešimą spaudai. Tiesa, tikriausiai, kažkur per vidurį, bet antrasis variantas juokingesnis, tad pradėkime nuo jo.
Konkursas, kuris turėjo tęstis iki gruodžio, o baigėsi per savaitę
Rugpjūčio 20 dieną startavo jau trečius (o pagal kai kuriuos šaltinius – ketvirtus) metus rengiamas Vilniaus miesto „Bug Bounty“ konkursas – iniciatyva, kviečianti „baltosios skrybėlės“ įsilaužėlius legaliai raustis po savivaldybės ir jai pavaldžių įmonių informacines sistemas, ieškant saugumo spragų. Formaliai konkursas turėjo tęstis iki metų pabaigos arba kol baigsis prizų fondas. Praktiškai baigėsi antrasis variantas, ir baigėsi jis šokiruojančiai greitai.
Užsiregistravo apie 70 dalyvių, iš kurių daugiau nei 30 aktyviai ieškojo spragų ir pateikė bent po vieną pranešimą. Iš viso savivaldybė sulaukė apie 250 pranešimų apie galimas saugumo spragas – beveik dvigubai daugiau nei pernai, ir gerokai daugiau nei per visus ankstesnius konkurso metus kartu sudėjus. Rezultatas: nuo 2026 metų rugpjūčio 3 dienos sustabdytas TIER 2 lygio – tai yra savivaldybės įmonių sistemų – testavimas. Toliau leidžiama testuoti tik pačios Vilniaus miesto savivaldybės administracijos (VMSA) sistemas, kol ir tas biudžetas neišsibaigs.
Savivaldybė šį reiškinį oficialiai vadina „augančiu etiško įsilaužimo bendruomenės susidomėjimu“. Kitas, mažiau diplomatiškas būdas tai pavadinti – savivaldybės IT infrastruktūra pasirodė esanti tokia patogi taikinio vieta, kad net mėgėjų lygio saugumo tyrėjai per savaitę surado daugiau problemų, nei organizatoriai buvo pasiruošę apmokėti per visus metus.
Kiek iš tikrųjų kainuoja spraga miesto biudžetui
Prizų sistema suskirstyta į du lygius. TIER1 skirtas didesnės apimties Vilniaus miesto savivaldybės administracijos sistemoms, TIER2 – savivaldybės įmonių valdomoms sistemoms. Priklausomai nuo nustatyto pažeidžiamumo kritiškumo, prizai svyruoja nuo 70 iki 3000 eurų už vieną patvirtintą spragą.
Pagalvokime apie tai grynai matematiškai. Jei visas 40 tūkstančių eurų fondas ištirpo per savaitę, o vidutinis prizas, tarkime, siekia kelis šimtus eurų, tai reiškia, kad per septynias dienas turėjo būti patvirtinta bent keliasdešimt realių, apmokėtinų spragų – ne vien 250 žaliavinių pranešimų, kurių dalis, savivaldybės teigimu, buvo pasikartojantys. Net atmetus dubliuotus pranešimus, likusio kiekio pakako išsemti visą metinį biudžetą greičiau, nei vidutinis vilnietis sulaukia atsakymo iš savivaldybės dėl leidimo pjauti medį prie savo namo.
Palyginimui – per pastaruosius trejus konkurso metus iš viso buvo identifikuotos 148 spragos, o kasmet konkurse paprastai dalyvaudavo apie 22–36 žmonės. Tai reiškia, kad šių metų vien per savaitę gautas pranešimų kiekis (250) jau pats savaime priartėjo prie viso trejų metų kumuliatyvinio rezultato. Jei tai vadinama „susidomėjimo augimu“, tai turbūt reikėtų rasti naują terminą tam, kas nutinka, kai augimas tokio masto per tokį trumpą laiką.
Kokias sistemas dabar drįsta testuoti internetiniai savanoriai
Šiais metais konkurso apimtis buvo išplėsta – prie iniciatyvos prisijungė septynios savivaldybės pavaldžios įstaigos: „ID Vilnius“, „Active Vilnius“, Vilniaus miesto klinikinė ligoninė, Šeškinės poliklinika, Naujosios Vilnios poliklinika, „Vilniaus vandenys“ ir „Vilniaus atliekų sistemos administratorius“. Kitaip tariant, medžioklės teritorija apėmė ne tik biurokratines administracines sistemas, bet ir infrastruktūrą, susijusią su sveikatos priežiūra bei vandens tiekimu – sritis, kuriose saugumo spragos nebėra vien abstrakti IT problema, o potencialiai paliečia realų miesto gyventojų kasdienį gyvenimą.
Faktas, kad būtent šios – TIER2 – sistemos pirmosios išnaudojo joms skirtą biudžeto dalį, kelia natūralų klausimą: ar tai reiškia, kad naujai prisijungusios savivaldybės įmonės atsivežė gerokai daugiau saugumo skolų, sukauptų metų metais be jokio išorinio audito, nei senesnės, jau kelis kartus testuotos savivaldybės administracijos sistemos? Statistika bent jau leidžia tokią interpretaciją.
Kodėl tai apskritai geras ženklas, kad ir kaip juokingai skamba
Prieš pradedant tyčiotis iš savivaldybės IT skyriaus, verta pasakyti sąžiningą tiesą: pats faktas, kad Vilnius apskritai turi tokį konkursą, jį finansuoja ir viešai skelbia rezultatus, jau savaime rodo, kad miestas elgiasi atsakingiau, nei dauguma Lietuvos viešojo sektoriaus institucijų, kurios apie savo skaitmeninių sistemų saugumą susimąsto tik po to, kai duomenys jau nutekėję į kokį nors tamsiojo interneto forumą. Kaip pati savivaldybė teisingai pastebi – jei sistemose yra spragų, geriau, kad jas rastų atlygį gaunantis etiškas tyrėjas, o ne piktavalis, siekiantis pasipelnyti iš miesto gyventojų asmens duomenų.
Vis dėlto tai nekeičia fakto, kad 40 tūkstančių eurų metinis biudžetas visos savivaldybės ir septynių jai pavaldžių įmonių informacinių sistemų saugumui testuoti yra suma, kurios privačiame sektoriuje užtektų vos vienam vidutinio dydžio įmonės kibernetinio saugumo audito etapui, o ne ištisos miesto skaitmeninės infrastruktūros, aptarnaujančios beveik 600 tūkstančių gyventojų, patikrai. Rezultatas, kai tokia suma išgaruoja per savaitę, sako daugiau apie pačios sistemos būklę, nei apie dalyvių entuziazmą.
Kas laimi tokiuose konkursuose ir kodėl tai ne kokie nors mistiniai genijai
Verta išsklaidyti populiarų mitą, kad tokiuose konkursuose dalyvauja vien elitiniai, retai sutinkami hakeriai su kapišonais ir žaliais tekstais ekranuose. Realybėje daugumą pranešimų tokiuose miestų bug bounty konkursuose įprastai teikia palyginti platus ratas – nuo studentų, besimokančių kibernetinio saugumo specialybių, iki laisvai samdomų saugumo tyrėjų, kurie panašius konkursus renkasi kaip papildomą pajamų šaltinį tarp didesnių, privačių bendrovių užsakymų. Dažniausiai aptinkamos spragos taip pat nėra kažkokie egzotiniai, filmuose vaizduojami įsilaužimai – tai standartinės, plačiai žinomos pažeidžiamumų kategorijos: netinkamai sukonfigūruotos prieigos teisės, pasenusios programinės įrangos versijos, nepakankamai apsaugotos duomenų perdavimo formos ar tiesiog viešai pasiekiama informacija, kuri neturėtų būti prieinama be autentifikacijos.
Kitaip tariant, dauguma tokių spragų nėra sudėtingos – jos tiesiog reikalauja, kad kažkas jas paieškotų sistemingai ir turėtų laiko tai daryti. Būtent todėl toks konkursas ir veikia: jis moka žmonėms už tai, ką bet kuriuo atveju verta padaryti, tiesiog leidžia tai padaryti dešimtims žmonių vienu metu, o ne vienam vidiniam darbuotojui, kuriam saugumo auditas yra tik viena iš dešimties pareigų sąraše.
Ką visa tai reiškia paprastam vilniečiui
Praktinė šios istorijos pasekmė tokia: jei planavote spėti pranešti apie kokią nors savivaldybės įmonės sistemos spragą ir gauti už tai piniginį prizą, TIER2 lygiu jau pavėlavote – bent iki kito biudžeto ciklo. Vis dar galima testuoti pačios savivaldybės administracijos sistemas, bet, sprendžiant iš šių metų tempo, ir tam skirtas biudžetas gali baigtis greičiau, nei tikitės.
O jei nesate saugumo tyrėjas ir tiesiog naudojatės Vilniaus miesto skaitmeninėmis paslaugomis – nuo mokesčių mokėjimo iki eilių registracijos poliklinikoje – ši istorija turėtų suteikti tam tikro (kad ir ironiško) pasitikėjimo: kažkas iš tikrųjų sistemingai ieško skylių jūsų duomenis saugančiose sistemose, prieš jas surandant kam nors, kas neturi ketinimo apie tai pranešti savivaldybei, o veikiau parduoti radinį juodojoje rinkoje.
Kita vertus, sunku nesijuokti iš situacijos, kurioje miesto, tvarkančio kelių šimtų milijonų eurų metinį biudžetą, skaitmeninio saugumo linija tampa vienu iš pirmųjų dalykų, kurių pinigai baigiasi kiekvienais metais – ir tai net nesulaukus rudens. Kitąmet, tikėtina, biudžetą teks arba gerokai padidinti, arba priprasti prie minties, kad „Bug Bounty“ sezonas Vilniuje trunka ne iki gruodžio, o tiesiog tiek, kiek užtrunka pirmajai bangai entuziastingų tyrėjų surasti pirmąsias kelias dešimtis akivaizdžiausių spragų.
Kaip veikia „pirmas atėjai, pirmas gavai“ taisyklė
Vienas įdomesnių konkurso mechanikos aspektų – kai apie tą pačią saugumo spragą praneša keli dalyviai (o su 250 pranešimų per savaitę tai neišvengiama), prizas atitenka tik pirmajam, kuris apie ją pranešė. Tai sukuria savotišką lenktynių dinamiką tarp dalyvių – ne tiek „kas ras daugiausiai spragų“, kiek „kas pirmas suspės paspausti mygtuką“. Praktiškai tai reiškia, kad patyrę, greitai reaguojantys tyrėjai, sekantys konkurso startą tiesiogine transliacija, turi didelį pranašumą prieš tuos, kurie prisijungia praėjus kelioms dienoms po starto – iki to laiko akivaizdžiausios, lengviausiai randamos spragos jau būna „nuimtos“ ankstyvųjų dalyvių.
Ši dinamika iš dalies paaiškina ir tai, kodėl biudžetas išsibaigė būtent taip greitai – jei sistema turi kelias akivaizdžias, lengvai randamas spragas, per pirmąsias konkurso dienas prie jos vienu metu jungiasi dešimtys tyrėjų, o kiekvienas patvirtintas, nedubliuotas radinys iškart nusineša dalį fondo. Skirtingai nuo privačių bug bounty platformų, kuriose konkuruoja tūkstančiai tyrėjų visame pasaulyje, palyginti nedidelė, lokali Vilniaus konkurso dalyvių bazė (70 registruotų, 30 aktyvių) vis dėlto sugebėjo per savaitę pasiekti tokį patvirtintų radinių tempą, kuris būtų padarę garbę ir kur kas didesnio masto tarptautinei programai.
Savivaldybė žada skaidrumą – ir tai bent jau nauja
Šių metų konkurso naujovė – kas ketvirtį viešai skelbiamas prizų fondo likutis, taip pat dalyviams teikiama informacija apie tarpinius rezultatus. Tai reiškia, kad, skirtingai nuo ankstesnių metų, kai fondo išsibaigimas galėjo nustebinti visus vienu metu, šiais metais bent jau teoriškai turėjo būti matoma, kaip greitai lėšos senka. Praktikoje, žinoma, savaitės tempu, koks buvo užfiksuotas šiemet, jokia skaidrumo priemonė nebūtų suteikusi pakankamai laiko organizatoriams reaguoti – nebent jie būtų nusprendę fondą papildyti vidury konkurso, ko, sprendžiant iš oficialaus TIER2 sustabdymo pranešimo, nepadarė.
Papildoma detalė, kurią verta paminėti dalyvių naudai: trejus metus konkurse dalyvavusiems ekspertams žadama suteikti galimybę testuoti sistemas dar prieš jų paleidimą naudotojams – tai jau žingsnis nuo reaktyvaus („radome skylę po to, kai sistema jau veikia“) prie proaktyvaus saugumo modelio. Jei ši praktika įsitvirtins, ateityje panašių „biudžetas baigėsi per savaitę“ istorijų turėtų mažėti – paprasčiausiai todėl, kad didžiausios, akivaizdžiausios spragos bus surandamos ir ištaisomos dar prieš viešą sistemos paleidimą, o ne po jo, kai jau vėlu.
Šaltiniai: Vilnius.lt, 15min.lt, MadeinVilnius.lt
Dažniausiai užduodami klausimai
Kiek laiko truko Vilniaus savivaldybės saugumo spragų konkursas ir kas nutiko jo biudžetui?
Formaliai konkursas turėjo tęstis iki gruodžio mėnesio pabaigos, tačiau dėl rekordinio dalyvių aktyvumo visas metinis 40 tūkstančių eurų prizų fondas savivaldybės įmonėms išseko vos per vieną savaitę. Dėl šios priežasties nuo rugpjūčio 3 dienos buvo sustabdytas TIER 2 lygio sistemų testavimas.
Kokios įstaigos ir sistemos dalyvavo šių metų Vilniaus miesto Bug Bounty konkurse?
Šiais metais konkurso apimtis buvo išplėsta prijungiant septynias savivaldybės pavaldžias įstaigas, tokias kaip ID Vilnius, Active Vilnius, poliklinikas, ligoninę, Vilniaus vandenis bei atliekų sistemos administratorių. Tai reiškia, kad medžioklė apėmė ne tik biurokratines administracines sistemas, bet ir sveikatos priežiūros bei vandens tiekimo infrastruktūrą.
Kas galėjo dalyvauti šiame savivaldybės skaitmeninio saugumo konkurse?
Konkurse dalyvavo platus ratas entuziastų, nuo kibernetinio saugumo specialybių studentų iki laisvai samdomų saugumo tyrėjų, naudojusių iniciatyvą kaip papildomą pajamų šaltinį. Iš užsiregistravusių maždaug 70 dalyvių, daugiau nei 30 aktyviai ieškojo spragų ir iš viso pateikė apie 250 pranešimų.
