أعلنت Google رسميًا عن توسيع برنامج مكافأة الثغرات الأمنية. سيتمكن الباحثون من الآن كسب المال عن طريق اكتشاف الاستخدامات المسيئة لبيانات المستخدمين، وتحديد الثغرات الأمنية في تطبيقات Android التي تتجاوز عدد عمليات تثبيتها 100 مليون عملية.
برنامج مكافأة حماية بيانات المطورين (DDPRP)
سيكون الابتكار الأول هو برنامج DDPRP، الذي يمكن لخبراء أمن المعلومات من خلاله الإبلاغ عن حالات إساءة استخدام بيانات المستخدمين. يمكن أن تظهر هذه المشكلات في التطبيقات التابعة لجهات خارجية والتي لديها حق الوصول إلى واجهة برمجة تطبيقات Google، وفي تطبيقات Android على متجر Google Play، وكذلك في التطبيقات والإضافات الموجودة على متجر Chrome الإلكتروني.
“الهدف من هذا البرنامج هو تشجيع كل من يستطيع تقديم أدلة موثوقة وواضحة لا لبس فيها على إساءة استخدام البيانات”، وفقًا لما صرحت به Google. «يهدف هذا البرنامج بشكل خاص إلى تحديد الحالات التي تُستخدم فيها بيانات المستخدم أو تُباع بطريقة غير متوقعة، وكذلك يُعاد استخدامها بشكل غير قانوني دون موافقة المستخدم.»
يحق لمحترفي أمن المعلومات الذين يكتشفون حالات إساءة استخدام البيانات الحصول على مكافأة تصل إلى 50,000 دولار أمريكي.
في هذه الحالة، تسير Google على خطى Facebook. ففي أبريل 2018، وبعد فضيحة شملت Cambridge Analytica وإساءة استخدام البيانات من قبل مستخدم، قامت شبكة التواصل الاجتماعي بتحديث برنامج مكافأة الثغرات الأمنية، بحيث يمكن للأشخاص الذين يكتشفون مثل هذه الإساءة في تطبيق تابع لجهة خارجية الحصول على مكافآت تصل إلى 40,000 دولار أمريكي.
اسمحوا لي أن أذكركم بأنه في بداية هذا الشهر وسّعت Facebook نطاق هذا البرنامج ليشمل Instagram، وذلك بعد حادثة مزعجة أخرى تتعلق بشركة Hyp3r. ففي بداية أغسطس 2019، أُدينت Hyp3r، وهي شريك إعلاني لـ Instagram، بجمع بيانات المستخدمين لاحقًا لتجميع ملفات إعلانية. فقد قامت Hyp3r بجمع وتخزين ملايين القصص والصور وبيانات الموقع الجغرافي والسير الذاتية والاهتمامات وغيرها من المستخدمين بشكل سري. ونتيجة لذلك، حظرت Facebook شركة Hyp3r بسبب انتهاكها قواعد المنصة.
مكافأة الثغرات الأمنية للتطبيقات الكبيرة
إعلان مثير للاهتمام آخر من Google هو برنامج مكافأة لجميع الأخطاء التي يُعثر عليها في التطبيقات الكبيرة على متجر Google Play. سيتمكن الباحثون من الآن البحث عن الثغرات الأمنية في جميع التطبيقات التي تجاوز عدد عمليات تثبيتها 100 مليون، والإبلاغ عن المشكلات إلى Google. وفي هذه الحالة، لا يحتاج مطورو هذه التطبيقات إلى التسجيل بشكل خاص أو اتخاذ أي إجراءات أخرى.
سيتم استلام تقارير الثغرات الأمنية عبر برنامج GPSRP لأمن Google Play على منصة HackerOne، ثم ستُحال إلى مطوري التطبيقات. وإذا لم يتمكنوا من إصلاح الأخطاء المكتشفة، فستقوم Google باستبعاد التطبيقات من متجر Play.
والملفت للنظر أن كبار المطورين مثل Facebook وMicrosoft وTwitter، الذين لديهم برامج مكافآت الأخطاء الخاصة بهم، لم يتم استبعادهم من برنامج GPSRP. كما تؤكد Google أن بإمكان الباحثين الإبلاغ عن الأخطاء مرتين: عبر GPSRP ومباشرةً عبر برامج مكافآت الأخطاء الخاصة بالشركات نفسها، مما يتيح لهم الحصول على مكافآت مضاعفة.
على الرغم من أن الأمر يبدو للوهلة الأولى أن Google تدفع من جيبها مقابل أخطاء التطبيقات التابعة لجهات خارجية، وأن ذلك لا معنى له، إلا أن الشركة توضح أن هذا في الواقع عملي ومربح. فقد أُطلق برنامج GPSRP في عام 2017، لكنه لم يحظَ بشعبية كبيرة: إذ لم تدفع Google سوى 265,000 دولار أمريكي للباحثين طوال تلك الفترة، رغم أن البرنامج كان يتضمن بالفعل عددًا من التطبيقات الشهيرة (التي اختارتها Google يدويًا).
توضح Google أن جميع تقارير الثغرات الأمنية التي وصلت خلال السنوات الثلاث الماضية لم تذهب سدى. فقد تم تصنيف جميع تقارير الأخطاء وإدراجها في نظام يقوم بتحليل تطبيقات متجر Google Play تلقائيًا بحثًا عن مشكلات مماثلة. وإذا تم اكتشاف خلل، يتلقى مطورو التطبيق المصاب تحذيرًا عبر وحدة تحكم Google Play، ويكون أمامهم خيار إصلاح المشكلة، وإلا ستُحذف تطبيقاتهم من الدليل. يُطلق على هذا النظام اسم App Security Improvement (ASI)، ووفقًا للشركة، فقد ساعد بالفعل 300,000 مطور في إصلاح أكثر من 1,000,000 تطبيق على Google Play.
