Společnost Google oficiálně oznámila rozšíření svého programu odměn za chyby. Výzkumníci budou nově moci vydělávat na odhalování zneužití uživatelských dat a na vyhledávání zranitelností v aplikacích pro Android s více než 100 miliony instalací.
Program odměn za ochranu dat vývojářů (DDPRP)
První novinkou bude program DDPRP, v jehož rámci budou moci odborníci na informační bezpečnost hlásit případy zneužití uživatelských dat. S takovými problémy se lze setkat u aplikací třetích stran s přístupem k rozhraní Google API, u aplikací pro Android v obchodě Google Play, stejně jako u aplikací a rozšíření v Internetovém obchodě Chrome.
„Cílem tohoto programu je motivovat všechny, kdo mohou předložit spolehlivé a jednoznačné důkazy o zneužití dat,“ uvedl Google. „Program se zaměřuje zejména na odhalování situací, kdy jsou uživatelská data neočekávaně používána nebo prodávána, a také nezákonně znovu využívána bez souhlasu uživatele.“
Odborníci na informační bezpečnost, kteří odhalí případy zneužití dat, mají nárok na odměnu až 50 000 dolarů.
Google tím následuje příklad Facebooku. V dubnu 2018, po skandálu kolem Cambridge Analytica a zneužití uživatelských dat, sociální síť aktualizovala svůj program odměn za chyby tak, aby lidé, kteří takové zneužití objeví v aplikaci třetí strany, mohli získat odměnu až 40 000 dolarů.
Připomínám, že začátkem tohoto měsíce Facebook rozšířil působnost tohoto programu i na Instagram po dalším nepříjemném incidentu spojeném se společností Hyp3r. Na začátku srpna 2019 byla totiž Hyp3r, reklamní partner Instagramu, usvědčena ze sběru uživatelských dat pro následné vytváření reklamních profilů. Hyp3r tajně shromažďovala a ukládala miliony uživatelských stories, obrázků, údajů o poloze, biografií, zájmů a dalších informací. V důsledku toho ji Facebook zablokoval za porušení pravidel platformy.
Odměny za chyby ve velkých aplikacích
Dalším zajímavým oznámením od Googlu je program odměn za všechny chyby nalezené ve velkých aplikacích v obchodě Google Play. Výzkumníci nově mohou hledat zranitelnosti ve všech aplikacích, jejichž počet instalací překročil 100 milionů, a hlásit problémy Googlu. Vývojáři takových aplikací se přitom nemusejí zvlášť registrovat ani podnikat žádné další kroky.
Zprávy o zranitelnostech budou přijímány prostřednictvím programu GPSRP (Google Play Security Reward Program) na platformě HackerOne a poté budou předány vývojářům aplikací. Pokud zjištěné chyby neopraví, Google tyto aplikace z obchodu Play odstraní.
Zajímavé je, že přední vývojáři, jako jsou Facebook, Microsoft nebo Twitter, kteří mají vlastní programy odměn za chyby, nejsou z GPSRP vyloučeni. Google navíc tvrdí, že výzkumníci mohou chyby nahlásit dvakrát: přes GPSRP i přímo v programech odměn samotných firem, a získat tak dvojnásobek odměn.
Ačkoli se na první pohled může zdát, že Google platí z vlastní kapsy za chyby v aplikacích třetích stran a že to nedává smysl, společnost vysvětluje, že je to ve skutečnosti praktické a výhodné. GPSRP totiž vznikl v roce 2017, ale příliš oblíbený nebyl: za celou dobu Google vyplatil výzkumníkům pouze 265 000 USD, přestože program již zahrnoval řadu populárních aplikací (vybraných Googlem ručně).
Google vysvětluje, že všechny zprávy o zranitelnostech přijaté za poslední tři roky npřišly vniveč. Všechna hlášení o chybách byla zkatalogizována a zahrnuta do systému, který automaticky prohledává aplikace v obchodě Google Play a hledá podobné problémy. Pokud je chyba odhalena, vývojáři zranitelné aplikace obdrží upozornění přes konzoli Google Play a mají možnost problém opravit, jinak jsou jejich aplikace z katalogu odstraněny. Tento systém se nazývá App Security Improvement (ASI) a podle společnosti již pomohl 300 000 vývojářů opravit více než 1 000 000 aplikací v Google Play.
