«Red Soft» resumió los resultados de la primera etapa del programa de búsqueda de vulnerabilidades en el sistema de gestión de bases de datos (SGBD) «Red Baza Dannykh». Durante un año, investigadores independientes enviaron 144 reportes, de los cuales 75 fueron confirmados y aceptados para su procesamiento. El monto total de las recompensas para los participantes superó los 3 millones de rublos.
Las pruebas se llevaron a cabo en la plataforma Standoff Bug Bounty: durante 11 meses el programa funcionó en modo privado y un mes más en modo público. De las 75 vulnerabilidades confirmadas, cinco fueron clasificadas con un nivel de peligrosidad crítico, 40 con un nivel alto, 15 con un nivel medio y 15 con un nivel bajo. Otros 42 reportes fueron rechazados porque los problemas no se confirmaron o no cumplían con los términos del programa, y 27 resultaron ser duplicados.
El fondo total de pagos ascendió a 3,01 millones de rublos. Quien más ganó fue el investigador bajo el seudónimo Bearsec: su recompensa alcanzó los 1,33 millones de rublos.
Según datos de la empresa, los problemas detectados se están solucionando tanto en el núcleo de «Red Baza Dannykh» como en Firebird. El programa continuará y la recepción de nuevos reportes permanece abierta.
«Red Baza Dannykh» está certificada por el FSTEC de Rusia según la 4.ª clase de protección y el 4.º nivel de confianza. El sistema prevé, en particular, el cifrado de datos según GOST, la autenticación multifactor y mecanismos de protección contra inyecciones SQL.