גוגל הודיעה רשמית על הרחבת תוכנית פרסי הבאגים שלה. חוקרים יוכלו מעתה להרוויח כסף על ידי איתור שימושים לרעה בנתוני משתמשים וזיהוי פגיעויות באפליקציות Android שיש להן יותר מ-100 מיליון התקנות.
תוכנית תגמול להגנה על נתוני המפתחים (DDPRP)
החידוש הראשון יהיה תוכנית DDPRP, שבמסגרתה אנשי מקצוע בתחום אבטחת המידע יוכלו לדווח על מקרים של שימוש לרעה בנתוני משתמשים. בעיות אלה עשויות להתגלות באפליקציות של צדדים שלישיים שיש להן גישה ל-API של גוגל, באפליקציות Android שב-Google Play Store, וכן באפליקציות והרחבות ב-Chrome Web Store.
“מטרת התוכנית היא לעודד כל מי שיכול לספק הוכחות מהימנות וחד-משמעיות לשימוש לרעה בנתונים”, כך מסרה גוגל. «התוכנית מכוונת במיוחד לזיהוי מצבים שבהם נתוני משתמשים נעשה בהם שימוש או נמכרים באופן בלתי צפוי, וכן מצבים שבהם הם משמשים מחדש באופן לא חוקי ללא הסכמת המשתמש.»
אנשי מקצוע בתחום אבטחת המידע שמאתרים מקרים של שימוש לרעה בנתונים זכאים לפרס שיכול להגיע עד 50,000 דולר.
במקרה זה גוגל הולכת בעקבות פייסבוק. באפריל 2018, לאחר שערורייה שכללה את Cambridge Analytica ושימוש לרעה בנתוני משתמשים, עדכנה הרשת החברתית את תוכנית פרסי הבאגים שלה, כך שאנשים שמגלים שימוש כזה באפליקציה של צד שלישי יוכלו לקבל פרסים של עד 40,000 דולר.
אזכיר שבתחילת החודש הזה הרחיבה פייסבוק את פעולת התוכנית לאינסטגרם, בעקבות אירוע לא נעים נוסף הקשור ל-Hyp3r. בתחילת אוגוסט 2019 נמצא כי Hyp3r, שותף פרסומי של אינסטגרם, אסף נתוני משתמשים לצורך הרכבת פרופילי פרסום מאוחרת. Hyp3r אסף ואחסן בסתר מיליוני סטוריז של משתמשים, תמונות, נתוני מיקום, ביוגרפיות, תחומי עניין ועוד. בעקבות כך חסמה פייסבוק את Hyp3r בשל הפרת כללי הפלטפורמה.
פרסי באגים לאפליקציות גדולות
הכרזה מעניינת נוספת של גוגל היא תוכנית תגמול על כל הבאגים שנמצאו באפליקציות גדולות ב-Google Play Store. חוקרים יוכלו מעתה לחפש פגיעויות בכל אפליקציה שמונה ההתקנות שלה עלה על 100 מיליון, ולדווח על הבעיות לגוגל. במקרה זה, מפתחי האפליקציות האלה אינם צריכים להירשם באופן מיוחד או לנקוט צעדים נוספים.
דוחות על פגיעויות יתקבלו דרך GPSRP של אבטחת Google Play בפלטפורמת HackerOne, ולאחר מכן יועברו למפתחי האפליקציות. אם הם לא יצליחו לתקן את הבאגים שזוהו, גוגל תסיר את האפליקציות מ-Play Store.
מעניין לציין שמפתחים מרכזיים כמו פייסבוק, מיקרוסופט או טוויטר, שיש להם תוכניות פרסי באגים משלהם, אינם מוחרגים מ-GPSRP. יתר על כן, גוגל טוענת שחוקרים יכולים לדווח על הבאגים פעמיים: דרך GPSRP וישירות דרך תוכניות פרסי הבאגים של החברות עצמן, וכך להרוויח פי שניים פרסים.
אמנם במבט ראשון נראה שגוגל משלמת מכיסה על באגים באפליקציות של צדדים שלישיים, וזה נשמע לא הגיוני, אך החברה מסבירה שזה למעשה מעשי ורווחי. העניין הוא ש-GPSRP הושק ב-2017, אך לא זכה לפופולריות רבה: עד כה שילמה גוגל לחוקרים רק 265,000 דולר, אף שהתוכנית כללה כבר מספר אפליקציות פופולריות (שנבחרו ידנית על ידי גוגל).
גוגל מסבירה שכל דוחות הפגיעויות שהתקבלו בשלוש השנים האחרונות לא היו לשווא. כל דוחות הבאגים תועדו והוכנסו למערכת שסורקת באופן אוטומטי את האפליקציות ב-Google Play Store לחיפוש בעיות דומות. אם מתגלה באג, מפתחי האפליקציה הפגיעה מקבלים אזהרה דרך קונסולת Google Play, ויש להם אפשרות לפתור את הבעיה, או שהאפליקציות שלהם יוסרו מהספרייה. המערכת נקראת App Security Improvement (ASI) ולפי החברה, היא כבר סייעה ל-300,000 מפתחים לתקן יותר מ-1,000,000 אפליקציות ב-Google Play.
