Google on virallisesti ilmoittanut laajentavansa virhepalkkio-ohjelmaansa. Tutkijat voivat jatkossa ansaita rahaa paljastamalla käyttäjätietojen väärinkäyttöä ja löytämällä haavoittuvuuksia Android-sovelluksista, joilla on yli 100 miljoonaa asennusta.
Kehittäjien tietosuojan palkitsemisohjelma (DDPRP)
Ensimmäinen uudistus on DDPRP-ohjelma, jossa tietoturva-asiantuntijat voivat ilmoittaa käyttäjätietojen väärinkäyttötapauksista. Tällaisia ongelmia voi esiintyä kolmannen osapuolen sovelluksissa, joilla on pääsy Googlen API:in, Google Play Kaupan Android-sovelluksissa sekä Chrome Web Storen sovelluksissa ja laajennuksissa.
“Ohjelman tavoitteena on kannustaa kaikkia, jotka pystyvät esittämään luotettavaa ja yksiselitteistä näyttöä tietojen väärinkäytöstä”, Google totesi. “Ohjelmalla pyritään erityisesti tunnistamaan tilanteita, joissa käyttäjätietoja käytetään tai myydään odottamattomalla tavalla tai joissa niitä käytetään uudelleen laittomasti ilman käyttäjän suostumusta.”
Tietoturva-ammattilaiset, jotka paljastavat tietojen väärinkäyttötapauksia, voivat saada palkkiona jopa 50 000 dollaria.
Tässä Google seuraa Facebookin esimerkkiä. Huhtikuussa 2018, Cambridge Analyticaa ja käyttäjätietojen väärinkäyttöä koskeneen skandaalin jälkeen, sosiaalinen verkosto päivitti virhepalkkio-ohjelmaansa niin, että kolmannen osapuolen sovelluksesta tällaisen väärinkäytön löytävät voivat saada palkkioksi jopa 40 000 dollaria.
Muistutan, että tämän kuun alussa Facebook laajensi ohjelman koskemaan myös Instagramia toisen ikävän, Hyp3riin liittyneen tapauksen jälkeen. Elokuun 2019 alussa Instagramin mainoskumppani Hyp3r todettiin syylliseksi käyttäjätietojen keräämiseen mainosprofiilien myöhempää kokoamista varten. Hyp3r keräsi ja tallensi salaa miljoonia käyttäjien tarinoita, kuvia, sijaintitietoja, elämäkertoja, kiinnostuksenkohteita ja muuta. Seurauksena Facebook esti Hyp3rin alustan sääntöjen rikkomisen vuoksi.
Virhepalkkiot suosituille sovelluksille
Toinen Googlen mielenkiintoinen ilmoitus on palkkio-ohjelma kaikista Google Play Kaupan suurissa sovelluksissa löydetyistä virheistä. Tutkijat voivat jatkossa etsiä haavoittuvuuksia kaikista sovelluksista, joiden asennusmäärä on ylittänyt 100 miljoonaa, ja ilmoittaa ongelmista Googlelle. Tällaisten sovellusten kehittäjien ei tarvitse rekisteröityä erikseen eikä ryhtyä muihin toimiin.
Haavoittuvuusraportit vastaanotetaan Google Playn tietoturvaohjelman GPSRP:n kautta HackerOne-alustalla, minkä jälkeen ne välitetään sovellusten kehittäjille. Jos kehittäjät eivät korjaa havaittuja virheitä, Google poistaa sovellukset Play Kaupasta.
Mielenkiintoista kyllä, suuret kehittäjät, kuten Facebook, Microsoft tai Twitter, joilla on omat virhepalkkio-ohjelmansa, eivät ole GPSRP:n ulkopuolella. Lisäksi Google kertoo, että tutkijat voivat ilmoittaa virheistä kahdesti: GPSRP:n kautta ja suoraan yritysten omien virhepalkkio-ohjelmien kautta, jolloin he voivat ansaita kaksinkertaisesti palkkioita.
Vaikka ensi silmäyksellä vaikuttaa siltä, että Google maksaa omasta pussistaan kolmansien osapuolten sovellusten virheistä eikä se tunnu järkevältä, yhtiö selittää, että kyse on todellisuudessa käytännöllisestä ja kannattavasta ratkaisusta. GPSRP käynnistettiin vuonna 2017, mutta se ei ollut kovin suosittu: koko ajan Google maksoi tutkijoille vain 265 000 dollaria, vaikka ohjelmaan kuului jo useita suosittuja sovelluksia (jotka Google valitsi käsin).
Google kertoo, etteivät kaikki kolmen viime vuoden aikana saadut haavoittuvuusraportit ole menneet hukkaan. Kaikki virheraportit luetteloitiin ja sisällytettiin järjestelmään, joka tarkistaa automaattisesti Google Play Kaupan sovelluksista samankaltaisia ongelmia. Jos virhe havaitaan, haavoittuvan sovelluksen kehittäjät saavat varoituksen Google Play Consolen kautta ja heillä on mahdollisuus korjata ongelma, tai muuten heidän sovelluksensa poistetaan hakemistosta. Järjestelmän nimi on App Security Improvement (ASI), ja yhtiön mukaan se on jo auttanut 300 000 kehittäjää korjaamaan yli 1 000 000 sovellusta Google Playssa.
