В мире кибербезопасности существует такая штука как Bug bounty. Основная идея - оплата внешним пентестерам за поиск багов в периметре защиты организации. В целом, я скорее удивлён, что программа баг баунти есть и у NASA. В целом, это нетипично для государственных организаций. Оплата весьма щедрая - благодарственное письмо и обязательство ничего не рассказывать про найденный баг. Ряд исследователей шарят небольшие рассказы про это, но само собой без деталей. На самом деле программа как программа с типично исключенными рейтлимитами Denial of Service, Rate Limiting, or Spamming issues (e.g., layer 7 DOS attacks, Slowloris, etc.) , но почему-то исключены такие явные дырки как проблемы с сертификатами, пропущенные хидеры безопасности, спуфинг контента (подмена текста страниц и подстановка ссылок в емейлы), Directory Listing (типа открытые каталоги) или получение доступа до внутренних систем своей разработки или вендорской разработки. Как написано в политике в таких случаях надо обращаться к вендору :) Я даже нашёл пример как можно подставлять в письма от NASA ссылки, но NASA её отклонило. Хотя в целом, принимается довольно большое количество уязвимостей, ровно как и быстро обрабатывается - детали можно поизучать на их странице. Все новые письма подписывает новый CISO NASA, который до этого, в том числе, работал в NOAA, спутников для которого летает весьма много. Предыдущие подписывал другой CISO, но его линкедин я не нашёл. Надеюсь, что наши частные космические компания внедрят у себя такие практики. Если кто знает есть ли они у кого-то из отечественных - дайте знать. Подписывайся на канал Banya&Bites #space #космос #cybersecurity #кибербезопасность