Google ने आधिकारिक तौर पर अपने बग बाउंटी कार्यक्रम के विस्तार की घोषणा की है। अब शोधकर्ता उपयोगकर्ताओं के डेटा के दुरुपयोग का पता लगाकर और 10 करोड़ से अधिक इंस्टॉल वाले Android ऐप्स की सुरक्षा कमजोरियों की पहचान करके कमाई कर सकेंगे।
प्रोग्राम का नाम: डेटा प्रोटेक्शन डेवलपर रिवार्ड प्रोग्राम (DDPRP)
पहला नवाचार DDPRP प्रोग्राम होगा, जिसमें सूचना सुरक्षा विशेषज्ञ उपयोगकर्ता डेटा के दुरुपयोग के मामलों की रिपोर्ट कर सकेंगे। ये समस्याएँ Google API तक पहुँच रखने वाले तृतीय-पक्ष अनुप्रयोगों में, Google Play Store के Android अनुप्रयोगों में, तथा Chrome Web Store के अनुप्रयोगों और एक्सटेंशनों में पाई जा सकती हैं।
“इस कार्यक्रम का उद्देश्य उन सभी लोगों को प्रोत्साहित करना है जो डेटा के दुरुपयोग का विश्वसनीय और स्पष्ट प्रमाण दे सकते हैं”, Google ने कहा। «यह कार्यक्रम विशेष रूप से उन स्थितियों की पहचान करने पर केंद्रित है जहाँ उपयोगकर्ता डेटा का अप्रत्याशित रूप से उपयोग या विक्रय किया जाता है, या उपयोगकर्ता की सहमति के बिना अवैध रूप से पुनः उपयोग किया जाता है।»
जो सूचना-सुरक्षा पेशेवर डेटा दुरुपयोग के मामलों का पता लगाते हैं, उन्हें 50,000 डॉलर तक का इनाम मिल सकता है।
इस मामले में, Google, Facebook के उदाहरण का अनुसरण कर रहा है। अप्रैल 2018 में, Cambridge Analytica और उपयोगकर्ता द्वारा डेटा के दुरुपयोग से जुड़े एक घोटाले के बाद, सोशल नेटवर्क ने बग बाउंटी कार्यक्रम को अपडेट किया, ताकि जो लोग किसी तृतीय-पक्ष एप्लिकेशन में ऐसे दुरुपयोग को खोजते हैं, उन्हें 40,000 $ तक के इनाम मिल सकें।
याद दिला दूँ कि इस महीने की शुरुआत में, Facebook ने Hyp3r से जुड़ी एक और अप्रिय घटना के बाद इस कार्यक्रम की कार्रवाई को Instagram पर विस्तारित किया था। दरअसल, अगस्त 2019 की शुरुआत में, Instagram के विज्ञापन भागीदार Hyp3r को बाद में विज्ञापन प्रोफ़ाइल तैयार करने के लिए उपयोगकर्ता डेटा एकत्र करने का दोषी पाया गया। Hyp3r ने गुप्त रूप से लाखों उपयोगकर्ता कहानियों, छवियों, भू-स्थान डेटा, जीवनियों, रुचियों आदि को एकत्र और संग्रहीत किया। इसके परिणामस्वरूप, प्लेटफ़ॉर्म नियमों के उल्लंघन के लिए Facebook ने Hyp3r को प्रतिबंधित कर दिया।
ब्लॉक बाउंटी (बग इनाम) बड़े ऐप्स के लिए
Google की एक और दिलचस्प घोषणा Google Play Store के बड़े ऐप्स में पाई गई सभी त्रुटियों के लिए एक इनाम कार्यक्रम है। अब शोधकर्ता उन सभी ऐप्स में कमज़ोरियाँ खोज सकेंगे जिनकी इंस्टॉलेशन संख्या 10 करोड़ से अधिक हो चुकी है, और समस्याओं की रिपोर्ट Google को भेज सकेंगे। इस मामले में ऐसे ऐप्स के डेवलपर्स को अलग से पंजीकरण करने या कोई अन्य कदम उठाने की आवश्यकता नहीं है।
कमज़ोरियों की रिपोर्टें HackerOne प्लेटफ़ॉर्म पर Google Play सुरक्षा GPSRP के माध्यम से प्राप्त की जाएँगी, और फिर उन्हें ऐप डेवलपर्स तक पहुँचाया जाएगा। यदि वे पहचानी गई त्रुटियों को ठीक करने में असमर्थ रहते हैं, तो Google ऐसे ऐप्स को Play Store से हटा देगा।
दिलचस्प बात यह है कि Facebook, Microsoft या Twitter जैसे प्रमुख डेवलपर्स, जिनके अपने बग बाउंटी कार्यक्रम हैं, GPSRP से बाहर नहीं रखे गए हैं। इसके अलावा, Google का कहना है कि शोधकर्ता त्रुटियों की दोहरी रिपोर्ट कर सकते हैं: GPSRP के माध्यम से और सीधे कंपनियों के अपने बग बाउंटी कार्यक्रमों के माध्यम से, जिससे उन्हें दोगुना इनाम कमाने का अवसर मिलता है।
भले ही पहली नज़र में ऐसा लगे कि Google तृतीय-पक्ष ऐप्स के बग्स का भुगतान अपनी जेब से कर रहा है और इसका कोई अर्थ नहीं बनता, कंपनी समझाती है कि वास्तव में यह व्यावहारिक और लाभदायक है। बात यह है कि GPSRP 2017 में शुरू हुआ था, लेकिन इसकी ज़्यादा लोकप्रियता नहीं थी: कुल मिलाकर Google ने शोधकर्ताओं को केवल 2,65,000 USD का भुगतान किया था, हालाँकि इस कार्यक्रम में पहले से ही कई लोकप्रिय ऐप्स शामिल थे (जिन्हें Google ने हाथ से चुना था)।
Google बताता है कि पिछले तीन वर्षों में प्राप्त सभी कमज़ोरी रिपोर्टें व्यर्थ नहीं गईं। सभी त्रुटि रिपोर्टों को सूचीबद्ध करके एक ऐसी प्रणाली में शामिल किया गया है जो समान समस्याओं के लिए Google Play Store के ऐप्स का स्वतः विश्लेषण करती है। यदि कोई बग पाया जाता है, तो प्रभावित ऐप के डेवलपर्स को Google Play कंसोल के माध्यम से चेतावनी मिलती है और उनके पास समस्या ठीक करने का विकल्प होता है, अन्यथा उनके ऐप्स डायरेक्टरी से हटा दिए जाते हैं। इस प्रणाली को App Security Improvement (ASI) कहा जाता है और कंपनी के अनुसार, इसने अब तक 3,00,000 डेवलपर्स को Google Play पर 10,00,000 से अधिक ऐप्स ठीक करने में मदद की है।
