Google официално обяви разширяването на програмата си за награди за открити грешки (bug bounty). Изследователите вече ще могат да печелят пари, като откриват злоупотреби с потребителски данни и идентифицират уязвимости в приложения за Android с над 100 милиона инсталации.
Программа за награди за защита на данните на разработчиците (DDPRP)
Първата новост ще бъде програмата DDPRP, в рамките на която специалистите по информационна сигурност ще могат да докладват за случаи на злоупотреба с потребителски данни. Тези проблеми могат да се срещнат в приложения на трети страни, които имат достъп до API на Google, в Android приложения от Google Play Store, както и в приложения и разширения от Chrome Web Store.
“Целта на тази програма е да насърчи всеки, който може да предостави надеждни и недвусмислени доказателства за злоупотреба с данни”, заяви Google. «Програмата е насочена най-вече към идентифициране на ситуации, в които потребителските данни се използват или продават по неочакван начин, както и се използват повторно незаконно без съгласието на потребителя.»
Специалистите по информационна сигурност, които откриват случаи на злоупотреба с данни, имат право на награда до 50 000 долара.
В този случай Google следва примера на Facebook. През април 2018 г., след скандала с Cambridge Analytica и злоупотребата с потребителски данни, социалната мрежа актуализира програмата за награди за бъгове, така че хората, които откриват подобна злоупотреба в приложение на трета страна, могат да получат награди до 40 000 долара.
Позволете ми да ви напomня, че в началото на този месец Facebook разшири действието на тази програма и към Instagram след друг неприятен инцидент, свързан с Hyp3r. През началото на август 2019 г. Hyp3r, рекламен партньор на Instagram, беше признат за виновен в събирането на потребителски данни за последващо съставяне на рекламни профили. Hyp3r тайно събира и съхранява милиони потребителски истории, изображения, геолокационни данни, биографии, интереси и др. В резултат на това Facebook блокира Hyp3r за нарушаване на правилата на платформата.
Награди за бъгове за големите приложения
Друго интересно обявление на Google е програма за награди за всички грешки, открити в големите приложения в Google Play Store. Изследователите вече ще могат да търсят уязвимости във всички приложения, чийто брояч на инсталации е надхвърлил 100 милиона, и да докладват проблемите на Google. В този случай разработчиците на такива приложения не е необходимо да се регистрират специално или да предприемат други мерки.
Докладите за уязвимости ще се приемат чрез GPSRP за сигурност на Google Play на платформата HackerOne, след което ще бъдат предавани на разработчиците на приложенията. Ако не успеят да отстранят идентифицираните грешки, Google ще премахне приложенията от Play Store.
Интересното е, че основни разработчици като Facebook, Microsoft или Twitter, които имат собствени програми за награди за бъгове, не са изключени от GPSRP. Освен това Google твърди, че изследователите могат да докладват грешки два пъти: чрез GPSRP и директно чрез програмите за награди за бъгове на самите компании, като по този начин могат да спечелят два пъти повече награди.
Макар на пръв поглед да изглежда, че Google плаща от джоба си за бъгове в приложения на трети страни и че това няма смисъл, компанията обяснява, че всъщност това е практично и рентабилно. Фактът е, че GPSRP беше стартиран през 2017 г., но не се радваше на голяма популярност: за цялото време Google изплати на изследователите само 265 000 долара, въпреки че програмата вече включваше редица популярни приложения (избрани ръчно от Google).
Google обяснява, че всички доклади за уязвимости, получени през последните три години, не са били напразни. Всички доклади за грешки са били каталогизирани и включени в система, която автоматично анализира приложенията в Google Play Store за подобни проблеми. Ако бъде открит бъг, разработчиците на уязвимото приложение получават предупреждение чрез Google Play Console и имат възможност да отстранят проблема, или приложенията им се премахват от каталога. Тази система се нарича App Security Improvement (ASI) и, според компанията, вече е помогнала на 300 000 разработчици да поправят над 1 000 000 приложения в Google Play.
