Google hat offiziell die Erweiterung seines Bug-Bounty-Programms angekündigt. Forscher können nun Geld verdienen, indem sie den Missbrauch von Nutzerdaten aufdecken und Sicherheitslücken in Android-Apps mit mehr als 100 Millionen Installationen identifizieren.
Belohnungsprogramm zum Schutz der Entwicklerdaten (DDPRP)
Die erste Neuerung ist das Programm DDPRP, in dessen Rahmen Spezialisten für Informationssicherheit Fälle von Missbrauch von Nutzerdaten melden können. Solche Probleme können bei Drittanbieter-Anwendungen mit Zugriff auf die Google-API, bei Android-Apps im Google Play Store sowie bei Apps und Erweiterungen im Chrome Web Store auftreten.
“Ziel dieses Programms ist es, alle zu ermutigen, die zuverlässige und eindeutige Belege für den Missbrauch von Daten liefern können”, erklärte Google. «Das Programm zielt insbesondere darauf ab, Situationen aufzudecken, in denen Nutzerdaten unerwartet verwendet oder verkauft sowie ohne die Zustimmung des Nutzers illegal weiterverwendet werden.»
Fachleute für Informationssicherheit, die Fälle von Datenmissbrauch aufdecken, erhalten eine Belohnung von bis zu 50.000 US-Dollar.
Damit folgt Google dem Beispiel von Facebook. Im April 2018, nach einem Skandal um Cambridge Analytica und den missbräuchlichen Umgang mit Daten, aktualisierte das soziale Netzwerk sein Bug-Bounty-Programm, sodass Personen, die einen solchen Missbrauch in einer Drittanbieter-Anwendung entdecken, Belohnungen von bis zu 40.000 US-Dollar erhalten können.
Ich möchte Sie daran erinnern, dass Facebook Anfang dieses Monats die Wirkung dieses Programms auf Instagram ausgeweitet hat, nachdem ein weiterer unerfreulicher Vorfall im Zusammenhang mit Hyp3r bekannt wurde. Anfang August 2019 wurde Hyp3r, ein Werbepartner von Instagram, der Sammlung von Nutzerdaten für die spätere Erstellung von Werbeprofilen für schuldig befunden. Hyp3r hatte heimlich Millionen von Nutzerstories, Bildern, Geolokalisierungsdaten, Biografien, Interessen usw. gesammelt und gespeichert. Infolgedessen wurde Hyp3r von Facebook wegen Verstoßes gegen die Plattformregeln gesperrt.
Bug-Bounty für große Anwendungen
Eine weitere interessante Ankündigung von Google ist ein Belohnungsprogramm für alle Fehler, die in umfangreichen Anwendungen im Google Play Store gefunden werden. Forscher können nun nach Sicherheitslücken in allen Apps suchen, deren Installationszahl 100 Millionen überschritten hat, und die Probleme an Google melden. In diesem Fall müssen sich die Entwickler solcher Anwendungen weder gesondert anmelden noch andere Schritte unternehmen.
Die Berichte über Sicherheitslücken werden über das GPSRP der Google-Play-Sicherheit auf der HackerOne-Plattform entgegengenommen und anschließend an die App-Entwickler weitergeleitet. Falls diese die festgestellten Fehler nicht beheben, entfernt Google die Anwendungen aus dem Play Store.
Interessanterweise sind große Entwickler wie Facebook, Microsoft oder Twitter, die über eigene Bug-Bounty-Programme verfügen, nicht vom GPSRP ausgeschlossen. Darüber hinaus erklärt Google, dass Forscher Fehler doppelt melden können: über das GPSRP und direkt über die Bug-Bounty-Programme der Unternehmen selbst, sodass sie doppelt so viele Belohnungen erhalten können.
Auch wenn es auf den ersten Blick so scheint, als würde Google die Fehler in Drittanbieter-Anwendungen aus eigener Tasche bezahlen und das ergebe keinen Sinn, erklärt das Unternehmen, dass dies tatsächlich praktisch und lohnend ist. Das GPSRP wurde 2017 gestartet, fand aber zunächst wenig Beachtung: Bis dahin hatte Google den Forschern lediglich 265.000 US-Dollar gezahlt, obwohl das Programm bereits eine Reihe beliebter Anwendungen umfasste (von Google manuell ausgewählt).
Google erklärt, dass sich alle in den letzten drei Jahren eingegangenen Berichte über Sicherheitslücken nicht als vergeblich erwiesen haben. Sämtliche Fehlerberichte wurden katalogisiert und in ein System aufgenommen, das die Apps im Google Play Store automatisch auf ähnliche Probleme untersucht. Wird ein Fehler entdeckt, erhalten die Entwickler der betroffenen Anwendung eine Warnung über die Google-Play-Konsole und haben die Möglichkeit, das Problem zu beheben, andernfalls werden ihre Apps aus dem Verzeichnis entfernt. Dieses System heißt App Security Improvement (ASI) und hat laut dem Unternehmen bereits 300.000 Entwicklern geholfen, mehr als 1.000.000 Apps auf Google Play zu reparieren.
