Google a officiellement annoncé l’expansion de son programme de prime aux bugs. Les chercheurs pourront désormais gagner de l’argent en détectant les utilisations abusives des données des utilisateurs et en identifiant les vulnérabilités des applications Android comportant plus de 100 millions d’installations.
Belønningsprogram for beskyttelse af udvikleres data (DDPRP)
Den første nyskabelse bliver programmet DDPRP, hvor informationssikkerhedsspecialister kan anmelde tilfælde af misbrug af brugerdata. Sådanne problemer kan forekomme i tredjepartsapps med adgang til Googles API, i Android-apps i Google Play Butik samt i apps og udvidelser i Chrome Web Store.
“Formålet med programmet er at tilskynde alle, der kan fremlægge pålidelige og entydige beviser for misbrug af data”, udtalte Google. «Programmet sigter især mod at afdække situationer, hvor brugerdata bruges eller sælges på uventede måder, eller genanvendes ulovligt uden brugerens samtykke.»
Informationssikkerhedsprofessionelle, der opdager tilfælde af datamisbrug, kan få en belønning på op til 50.000 dollars.
Her følger Google Facebooks eksempel. I april 2018, efter en skandale omkring Cambridge Analytica og misbrug af brugerdata, opdaterede det sociale netværk sit bug bounty-program, så personer, der afslører sådant misbrug i en tredjepartsapp, kan modtage op til 40.000 dollars i belønning.
Permettez-moi de vous rappeler qu’au début de ce mois, Facebook a étendu l’action de ce programme sur Instagram après un autre incident déplaisant lié à Hyp3r. En effet, au début du mois d’août 2019, Hyp3r, partenaire publicitaire d’Instagram, a été reconnu coupable de collecte de données d’utilisateur pour la compilation ultérieure de profils de publicité. Hyp3r a secrètement collecté et stocké des millions de récits d’utilisateurs, d’images, de données de géolocalisation, de biographies, d’intérêts, etc. En conséquence, Hyp3r a été bloqué par Facebook pour violation des règles de la plate-forme.
Bug bounty for store apps
En anden interessant bekendtgørelse fra Google er et belønningsprogram for alle fejl, der findes i store apps i Google Play Butik. Forskere kan nu lede efter sårbarheder i alle apps, der har rundet 100 millioner installationer, og rapportere problemerne til Google. Udviklerne af sådanne apps behøver hverken at tilmelde sig særskilt eller foretage sig yderligere.
Rapporter om sårbarheder modtages via Google Play Security Reward Program (GPSRP) på platformen HackerOne og videresendes derefter til app-udviklerne. Hvis de ikke får rettet de påviste fejl, fjerner Google apps’ene fra Play Butik.
Det er interessant, at store udviklere som Facebook, Microsoft og Twitter, som har deres egne bug bounty-programmer, ikke er udelukket fra GPSRP. Derudover oplyser Google, at forskere kan anmelde fejl to gange: via GPSRP og direkte via virksomhedernes egne bug bounty-programmer, så de kan optjene dobbelt så mange belønninger.
Selv om det ved første øjekast ser ud, som om Google betaler af egen lomme for fejl i tredjepartsapps, og at det er meningsløst, forklarer virksomheden, at det i virkeligheden er praktisk og rentabelt. Sagen er, at GPSRP blev lanceret i 2017, men ikke var særlig populært: Google udbetalte i alt kun 265.000 USD til forskere, selv om programmet allerede omfattede en række populære apps (udvalgt manuelt af Google).
Google forklarer, at alle de sårbarhedsrapporter, der er modtaget i løbet af de seneste tre år, ikke har været forgæves. Alle fejlrapporter er blevet katalogiseret og indarbejdet i et system, der automatisk scanner apps i Google Play Butik for lignende problemer. Hvis en fejl opdages, får udviklerne af den sårbare app en advarsel via Google Play Console og har mulighed for at løse problemet, ellers fjernes deres apps fra kataloget. Systemet hedder App Security Improvement (ASI), og ifølge virksomheden har det allerede hjulpet 300.000 udviklere med at rette mere end 1.000.000 apps på Google Play.
