Η Google ανακοίνωσε επίσημα την επέκταση του προγράμματος επιβράβευσης για την εντοπισμό σφαλμάτων (bug bounty). Οι ερευνητές θα μπορούν πλέον να κερδίζουν χρήματα εντοπίζοντας καταχρηστικές χρήσεις των δεδομένων των χρηστών και εντοπίζοντας ευπάθειες σε εφαρμογές Android με πάνω από 100 εκατομμύρια εγκαταστάσεις.
Πρόγραμμα ανταμοιβών για την προστασία των δεδομένων των προγραμματιστών (DDPRP)
Η πρώτη καινοτομία θα είναι το πρόγραμμα DDPRP , στο οποίο οι ειδικοί της ασφάλειας πληροφοριών θα μπορούν να αναφέρουν περιπτώσεις κατάχρησης δεδομένων χρηστών. Τέτοια προβλήματα μπορεί να εντοπιστούν σε εφαρμογές τρίτων που έχουν πρόσβαση στο API της Google, σε εφαρμογές Android στο Google Play Store, καθώς και σε εφαρμογές και επεκτάσεις του Chrome Web Store.
“Ο στόχος αυτού του προγράμματος είναι να ενθαρρύνει όποιον μπορεί να παράσχει αξιόπιστα και σαφή αποδεικτικά στοιχεία κατάχρησης δεδομένων”, δήλωσε η Google. «Το πρόγραμμα αυτό στοχεύει ιδιαίτερα στον εντοπισμό περιπτώσεων όπου τα δεδομένα των χρηστών χρησιμοποιούνται ή πωλούνται με απροσδόκητο τρόπο, καθώς και επαναχρησιμοποιούνται παράνομα χωρίς τη συγκατάθεση του χρήστη.»
Οι επαγγελματίες της ασφάλειας πληροφοριών που εντοπίζουν περιπτώσεις κατάχρησης δεδομένων δικαιούνται ανταμοιβή που μπορεί να φτάσει τα 50 000 δολάρια.
Σε αυτή την περίπτωση, η Google ακολουθεί το παράδειγμα της Facebook. Τον Απρίλιο του 2018, μετά από σκάνδαλο που αφορούσε την Cambridge Analytica και την κατάχρηση δεδομένων χρηστών, το κοινωνικό δίκτυο ενημέρωσε το πρόγραμμα ανταμοιβής σφαλμάτων ώστε όσοι ανακαλύπτουν τέτοια κατάχρηση σε εφαρμογή τρίτου μέρους να μπορούν να λάβουν έως 40 000 $ σε ανταμοιβές.
Επιτρέψτε μου να σας υπενθυμίσω ότι στις αρχές του μήνα, η Facebook επέκτεινε τη δράση αυτού του προγράμματος στο Instagram, μετά από ένα ακόμη δυσάρεστο περιστατικό που αφορούσε την Hyp3r. Πράγματι, στις αρχές Αυγούστου 2019, η Hyp3r, διαφημιστικός συνεργάτης του Instagram, κρίθηκε ένοχη για συλλογή δεδομένων χρηστών με σκοπό τη μετέπειτα δημιουργία διαφημιστικών προφίλ. Η Hyp3r συνέλεγε και αποθήκευε κρυφά εκατομμύρια ιστορίες χρηστών, εικόνες, δεδομένα γεωθέσης, βιογραφίες, ενδιαφέροντα κ.ά. Ως αποτέλεσμα, η Hyp3r αποκλείστηκε από το Facebook για παραβίαση των κανόνων της πλατφόρμας.
Επιβραβεύσεις σφαλμάτων για μεγάλες εφαρμογές
Μια ακόμη ενδιαφέρουσα ανακοίνωση της Google είναι ένα πρόγραμμα ανταμοιβών για όλα τα σφάλματα που εντοπίζονται στις μεγάλες εφαρμογές του Google Play Store. Οι ερευνητές μπορούν πλέον να αναζητούν ευπάθειες σε όλες τις εφαρμογές των οποίων ο μετρητής εγκαταστάσεων έχει ξεπεράσει τα 100 εκατομμύρια, και να αναφέρουν τα προβλήματα στην Google. Σε αυτή την περίπτωση, οι προγραμματιστές τέτοιων εφαρμογών δεν χρειάζεται να εγγραφούν ειδικά ούτε να λάβουν άλλα μέτρα.
Οι αναφορές για ευπάθειες θα λαμβάνονται μέσω του GPSRP της ασφάλειας του Google Play στην πλατφόρμα HackerOne , και στη συνέχεια θα προωθούνται στους προγραμματιστές των εφαρμογών. Εάν αυτοί δεν καταφέρουν να διορθώσουν τα εντοπισμένα σφάλματα, η Google θα αποκλείσει τις εφαρμογές από το Play Store.
Είναι ενδιαφέρον ότι οι μεγάλοι προγραμματιστές, όπως το Facebook, η Microsoft ή το Twitter, που διαθέτουν δικά τους προγράμματα ανταμοιβών σφαλμάτων, δεν εξαιρούνται από το GPSRP. Επιπλέον, η Google ισχυρίζεται ότι οι ερευνητές μπορούν να αναφέρουν τα σφάλματα δύο φορές: μέσω του GPSRP και απευθείας μέσω των προγραμμάτων ανταμοιβών σφαλμάτων των ίδιων των εταιρειών, κερδίζοντας έτσι διπλάσιες ανταμοιβές.
Αν και με την πρώτη ματιά φαίνεται ότι η Google πληρώνει από την τσέπη της για σφάλματα σε εφαρμογές τρίτων και ότι αυτό δεν έχει νόημα, η εταιρεία εξηγεί ότι στην πραγματικότητα είναι πρακτικό και κερδοφόρο. Το γεγονός είναι ότι το GPSRP ξεκίνησε το 2017, αλλά δεν είχε μεγάλη δημοτικότητα: συνολικά, η Google πλήρωνε μόνο 265.000 USD στους ερευνητές, αν και το πρόγραμμα περιλάμβανε ήδη έναν αριθμό δημοφιλών εφαρμογών (επιλεγμένων χειροκίνητα από την Google).
Η Google εξηγεί ότι όλες οι αναφορές ευπαθειών που ελήφθησαν τα τελευταία τρία χρόνια δεν πήγαν χαμένες. Όλες οι αναφορές σφαλμάτων καταγράφηκαν και εντάχθηκαν σε ένα σύστημα που αναλύει αυτόματα τις εφαρμογές του Google Play Store για παρόμοια προβλήματα. Εάν εντοπιστεί σφάλμα, οι προγραμματιστές της ευάλωτης εφαρμογής λαμβάνουν προειδοποίηση μέσω της κονσόλας Google Play και έχουν τη δυνατότητα να επιλύσουν το πρόβλημα, διαφορετικά οι εφαρμογές τους αφαιρούνται από τον κατάλογο. Αυτό το σύστημα ονομάζεται App Security Improvement (ASI) και, σύμφωνα με την εταιρεία , έχει ήδη βοηθήσει 300.000 προγραμματιστές να διορθώσουν περισσότερες από 1.000.000 εφαρμογές στο Google Play.
