Іллі Глібову - 17 років, цієї весни він закінчував одну з двох сильних гімназій в Мончегорске - невеликому місті Мурманської області з населенням близько 40 тисяч чоловік. Готуючись до ЄДІ з інформатики, школяр випадково натрапив на статтю про уразливість в Facebook, що дозволяла зламати акаунти в соціальній мережі. Той же «трюк», як називає його Ілля, він вирішив спробувати і у «ВКонтакте». В результаті школяр з'ясував: вразливість, що дозволяє зламати більшість акаунтів, є і в російській соцмережі. За знахідку Іллі виплатили дві тисячі доларів, ще тисячу додали в програмі bug bounty ICQ, де, як з'ясувалося, теж існувала можливість злому. Втім, гроші школяр зможе отримати тільки після вісімнадцяти, а поки Ілля мріє вступити до вузу на інформаційну безпеку. Про те, як знайти вразливість в найбільшій соцмережі Росії в перерві між рішенням типових завдань з інформатики, він розповів ITMO.NEWS.

Все почалося дійсно з новини про Facebook? Або ти думав про те, як перевірити «ВКонтакте», і раніше?

Насправді новини про Facebook вже рік, вона була опублікована в 2016 році. Я її бачив ще тоді, відразу після публікації. Потім вона мені знову випадково попалася на очі. Суть уразливості полягала в переборі кодів відновлення на тестовому домені компанії. Я подумав, а чому, власне, «ВКонтакте» гірше? І вирішив спробувати провернути подібний трюк у них. Я приблизно знаю, як працює «ВКонтакте», тому перевірити цю думку було досить просто. Хоча це, звичайно, не перший раз, коли я намагався перевірити що-небудь на вразливість. На HackerOne є кілька звітів. В цілому, вдалося знайти уразливість, яка торкнулася і «ВКонтакте», і ICQ, до цього перевіряв ще одну уразливість в «ВКонтакте». Це теж стосується отримання приватних даних, але розкрити я її поки не можу.

Та сама уразливість, яку вдалося виявити у «ВКонтакте» і ICQ і за яку вдалося отримати в цілому три тисячі доларів, кому вона могла загрожувати? І як тобі вдалося її знайти?

Це завдання я робив десь протягом двох днів, хоча за загальним часу вона зайняла години чотири. Уразливість полягала в тому, що там є сесія, і по цій сесії генерується код відновлення, який відправляється на телефон. Але ніхто не припускав, що сесії можуть бути однаковими. Я ж зробив так, що сесії були дійсно однакові: тобто однаковий код можна відправити на різні телефони. Ця вразливість дозволяла зламати більшість акаунтів у соціальній мережі, в безпеки були тільки акаунти з двухфакторной авторизацією (у них не можна робити відновлення за номером телефону). Детально хід роботи розписаний на Хабре.

Джерело: habrahabr.ru

До речі, вирішив написати туди в перший раз, раніше переважно читав. Уразливість хоч і проста, але досить серйозна і на неї довго не звертали уваги. Та й на HackerOne бачили не так багато людей. Тому хотілося розповісти про це, щоб дізналися і були попереджені більше людей. Відразу після виявлення я написав репорт на HackerOne. Вже через 17 годин вразливість була усунута. Через кілька днів мені виплатили 2000 $. Також я з'ясував, що така вразливість існувала і в ICQ. У програмі bug-bounty ICQ мені була зроблена доплата в розмірі 1000 $

Перші враження твої і рідних, коли дізнався про нагороду? Уже спланував, як витратиш зароблені гроші?

Наталя Глєбова (мама): Особисто я про це виграші дізналася тільки два дні тому, Хоча все сталося в квітні. А тато ще навіть не знає. Спочатку я, природно, не повірила, бо в принципі ніколи не сприймала такі речі або все, що пов'язано з кіберспорту, як серйозне джерело доходу.

Ілля Глєбов: Все одно до 18 років я ці гроші отримати не зможу, тому що, щоб їх вивести, потрібно зареєструвати PayPal. Поки не планую їх ні на що витрачати, краще буду збирати.

До речі, на Хабре ти написав, що все сталося, коли ти «готувався» до ЄДІ з інформатики - саме так, в лапках.

Все дійсно сталося, коли я готувався до ЄДІ з інформатики. Там була задача під номером 27. Сенс в тому, що в ній було дуже багато параметрів - х1, х2, х3, х4, х5 і так далі. Треба було пробувати, перебирати. І мені так набридло це робити, що я просто вирішив відволіктися і що-небудь почитати. Натрапив на статтю про уразливість в Facebook і вирішив спробувати цей спосіб на ВК. Взагалі, новини я читаю часто. Завжди слідкую за Хабре, на HackerOne регулярно читаю репорти від інших компаній, користувачів.

В результаті як ти здав ЄДІ?

З інформатики я набрав 97 балів, а ось з математикою не склалося - всього 62 бали, хоча завдання насправді були досить прості, вирішувати можна було все. Але я просто зробив дурні помилки. Наприклад, в задачі присутній t-3 і все в квадраті, я починаю вирішувати і по ходу втрачаю квадрат. Або десь забув поставити кому. Хоча в школі, крім інформатики, любив саме математику і фізику. Із цих предметів у нас в школі дуже хороші вчителі, мені завжди подобалося, як вони викладають. Та й при підготовці до іспитів все виходило набагато краще.

ЄДІ з математики. Джерело: nrnews.ru

Багато хлопців уже за рік, а то й за два починають готуватися до ЄДІ, ходять до репетиторів, в підготовчі школи. Ти ходив?

Можна було при ліцеї ходити на підготовку до ЄДІ з інформатики, але навіщо? ЄДІ з цього предмету був не дуже складний, я готувався сам. Я в принципі ніколи не ходив до жодного репетитора. Коли я готувався, вирішував типові завдання, якщо щось не розумів, звичайно, шукав рішення в інтернеті, розбирався. З інформатики, наприклад, дуже допоміг сайт Костянтина Полякова, там завдання розбиті на блоки і до кожного завдання є пояснення.

Наталя Глєбова: У нас місто в принципі невеликий, всього 40 тисяч населення. З сильних хороших шкіл, мабуть, є тільки дві: гімназія, де навчався Ілля, і ліцей. Решта - це все середні школи, половина з яких вчить тільки до дев'ятого класу. Коли зайшов питання про підготовку до ЄДІ, він сказав, що хорошого репетитора в місті ми навряд чи знайдемо, тому краще, якщо він сам подивиться в інтернеті.

Хтось допомагав в родині з підготовкою?

Наталя Глєбова: У нас в сім'ї немає програмістів, у мене економічна освіта, чоловік - інженер, закінчив Гірський. Ми працюємо в металургійній галузі. Тому, скільки пам'ятаю, завжди, коли якісь проблеми виникали з комп'ютером вдома - зламалася машина, не завантажується і так далі - все несли до Іллі. Серед знайомих навіть не до кого звернутися, зате Ілля все знав і міг виправити. Комп'ютер у нас з'явився десь у 2004 році, коли йому було чотири роки.

Ілля Глєбов: Він був ще зовсім старий, з величезним монітором.

Наталя Глєбова: І був куплений в кредит і на зайняті у бабусі гроші. Скільки пам'ятаю, він вже після початкової школи став активно їм займатися, почав щось читати по темі.

Невже не сварили, що дитина занадто довго сидить за комп'ютером?

Наталя Глєбова: Ні, обмежувати особливо не доводилося, тому що Ілля встигав і вчитися добре, і пограти, і щось вдіяти за комп'ютером. В цілому він завжди був самостійним і ніколи не був під контролем. Він ходив на плавання, займався гірськими лижами. І зараз кожен рік ми їздимо до Фінляндії кататися на лижах. Причому Ілля не любить кататися по нормальним трасах, любить по лісі. І не боїться зовсім.

Ілля Глєбов з сім'єю

Ілля, а з чого почалося вже серйозне захоплення інформатикою, бажання просунутися кудись далі?

Взагалі, інформатика у нас в школі була з другого класу. Там, звичайно, все було несерйозно. А захопився я всім цим, напевно, класі у восьмому. Почав з програмування, це були різні невеликі програми для себе, для полегшення рутинних завдань. Наприклад, була простенька програма для того, щоб просто склеїти багато текстових файлів. Я зробив маленьке віконце, куди можна закинути всі документи і на виході отримати один великий текстовий файл. І все інше в такому дусі.

Перші знання з програмування, звичайно, шукав в інтернеті, були різні сайти з уроками. Що не розумів, шукав ще десь додатково. Мені завжди цікаво було дізнаватися і зрозуміти, як працюють будь-які додатки, захищаються дані, як в цілому працює ця система.

Є хтось, на кого б хотілося рівнятися?

Павло Дуров. Мені близька його позиція з багатьох питань, особливо що стосується захисту інформації. Крім того, я стежу за чемпіонатом світу з програмування ACM ICPC, переможцями якого ставали і Микола Дуров, і вже сім разів команда Університету ИТМО. Стежу як за командами, так і за чемпіонатом в цілому. Дивився навіть завдання, але там, звичайно, дуже серйозний рівень.

А за кого вболівав в цьому році?

За команду Університету ИТМО. На мою думку, саме у неї спочатку були кращі шанси на перемогу.

Проте, зв'язати своє подальше життя ти все ж плануєш з інформаційною безпекою. Саме на цей напрямок подавав документи. Чому?

Я просто хочу, щоб інформація людей була добре захищена, щоб не траплялося хакерських атак, та й в цілому щоб люди спали спокійно. Документи я подавав у п'ять різних вузів, але пріоритетом є Університет ИТМО, тому що це дійсно один з найсильніших IT-ВНЗ. Хотілося б пройти, але подивимося, як вийде.

Замислювався про кар'єру? Багато, хто вступає, вже розглядають перспективи розвивати власний бізнес.

Про своєї компанії я поки не думав. Це завжди пов'язано з великим ризиком і поки я до цього не готовий. Спочатку, як мені здається, краще попрацювати в якийсь великий серйозній компанії, набратися досвіду. Що стосується прикладів таких компаній, в Росії міг би назвати Яндекс, ВКонтакте, Jet Brains, в світі - це, звичайно, Apple, Amazon, Microsoft. Серйозних планів поки не будую, найближче завдання - вступити до вузу тут, в Петербурзі. А потім вже буде видно, як розвиватися далі.
Після інтерв'ю Ілля зустрівся з Данилом Заколдаевим , Деканом факультету інформаційної безпеки і комп'ютерних технологій, і Олексієм Ітин , Відповідальним секретарем приймальної комісії. За результатами співбесіди та перевірки знань школяра, Іллі запропонували навчання за рахунок коштів Університету ИТМО за освітньою програмою «Технології захисту інформації» мегафакультета «Комп'ютерні технології та управління» .

«На Іллю ми звернули увагу на серйозному інтернет-ресурсі, де фахівці в області IT спілкуються і діляться досвідом. Знання Іллі в деяких предметних областях значно перевершують вимоги, що пред'являються хлопцям його віку: очевидний інтерес до реверс-інжиніринг та бажання розвиватися, в тому числі самостійно. Розраховуємо, що він витримає серйозне навантаження базових дисциплін в перший рік навчання і зможе розкрити свої таланти в області інформаційної безпеки », - коментує Данило Заколдаев.

Олексій Ітин, Данило Заколдаев, Ілля Глєбов, Наталя Глєбова і Микола Пшеничний (начальник відділу профорієнтації та роботи з талантами)

«Університет - центр залучення талантів. Нам важливо, щоб в ИТМО надходили творчі і нестандартно мислячі хлопці. Пошук і залучення високобалльніков, переможців і призерів олімпіад - важливе завдання вузу. Але через це багато мотивовані школярі не можуть вступити на бюджет, так як їхні бали ЄДІ нижче. Протягом останніх двох років університет окремо вибудовує проактивний роботу з пошуку та залучення хлопців, які досягли інших видатних і не менш значущих результатів. Адже талант дуже складно виміряти балами або іншими критеріями. Іноді "гарячі" очі школяра і його мотивація, підкріплена не завжди академічними результатами, виявляється набагато важливіше для вузу. Я впевнена, що Ілля відмінно увіллється в ITMO.FAMILY, зарекомендує себе і в навчанні, і у позанавчальної творчої діяльності », - говорить Анна Веклич , Перший заступник голови Приймальної комісії Університету ИТМО.