A Google hivatalosan bejelentette a hibavadász-programjának bővítését. A kutatók mostantól pénzt kereshetnek azzal, ha felderítik a felhasználói adatokkal való visszaéléseket, illetve azonosítják a több mint 100 millió telepítéssel rendelkező Android-alkalmazások sebezhetőségeit.
Adatvédelmi jutalomprogram fejlesztőknek (DDPRP)
Az első újdonság a DDPRP program lesz, amelyben az információbiztonsági szakemberek bejelenthetik a felhasználói adatokkal való visszaélések eseteit. Ilyen problémák előfordulhatnak a Google API-hoz hozzáférő harmadik féltől származó alkalmazásokban, a Google Play Áruház Android-alkalmazásaiban, valamint a Chrome Web Áruház alkalmazásaiban és bővítményeiben.
“A program célja, hogy ösztönözzön mindenkit, aki megbízható és egyértelmű bizonyítékot tud szolgáltatni az adatokkal való visszaélésre” – nyilatkozta a Google. „A program különösen azokat a helyzeteket igyekszik feltárni, amelyekben a felhasználói adatokat váratlan módon használják fel vagy értékesítik, illetve a felhasználó beleegyezése nélkül, jogellenesen hasznosítják újra.”
Az adatokkal való visszaélés eseteit felderítő információbiztonsági szakemberek akár 50 000 dollár jutalomra is jogosultak.
Ebben a Google a Facebook példáját követi. 2018 áprilisában, a Cambridge Analytica-botrány és a felhasználói adatokkal való visszaélés után a közösségi hálózat frissítette hibavadász-programját, így aki egy harmadik féltől származó alkalmazásban ilyen visszaélést talál, akár 40 000 dollár jutalmat is kaphat.
Permettez-moi de vous rappeler qu’au début de ce mois, Facebook a étendu l’action de ce programme sur Instagram après un autre incident déplaisant lié à Hyp3r. En effet, au début du mois d’août 2019, Hyp3r, partenaire publicitaire d’Instagram, a été reconnu coupable de collecte de données d’utilisateur pour la compilation ultérieure de profils de publicité. Hyp3r a secrètement collecté et stocké des millions de récits d’utilisateurs, d’images, de données de géolocalisation, de biographies, d’intérêts, etc. En conséquence, Hyp3r a été bloqué par Facebook pour violation des règles de la plate-forme.
Hibavadász-jutalom a nagy alkalmazásokért
A Google másik érdekes bejelentése egy jutalomprogram a Google Play Áruház nagy méretű alkalmazásaiban talált összes hibáért. A kutatók mostantól minden olyan alkalmazásban kereshetnek sebezhetőségeket, amelynek telepítési számlálója meghaladta a 100 milliót, és jelenthetik a problémákat a Google-nek. Az ilyen alkalmazások fejlesztőinek ehhez nem kell külön regisztrálniuk, és más lépéseket sem kell tenniük.
A sebezhetőségi jelentéseket a Google Play biztonsági GPSRP programja a HackerOne platformon keresztül fogadják, majd továbbítják az alkalmazások fejlesztőinek. Ha a fejlesztők nem tudják kijavítani a feltárt hibákat, a Google eltávolítja az alkalmazásokat a Play Áruházból.
Érdekesség, hogy a nagy fejlesztők, például a Facebook, a Microsoft vagy a Twitter, amelyeknek saját hibavadász-programjuk van, nem zárhatók ki a GPSRP-ből. A Google emellett kijelenti, hogy a kutatók kétszer is bejelenthetik a hibákat: a GPSRP-n keresztül és közvetlenül a vállalatok saját hibavadász-programjain keresztül is, így kétszeres jutalmat kereshetnek.
Bár első pillantásra úgy tűnik, hogy a Google a saját zsebéből fizet harmadik felek alkalmazásainak hibáiért, és ennek nincs értelme, a vállalat szerint ez valójában praktikus és kifizetődő. A helyzet az, hogy a GPSRP-t 2017-ben indították el, de nem volt nagy népszerűsége: a Google addig mindössze 265 000 USD-t fizetett ki a kutatóknak, pedig a program már akkor is számos népszerű alkalmazást tartalmazott (amelyeket a Google kézzelválogatott).
A Google magyarázata szerint az elmúlt három évben beérkezett sebezhetőségi jelentések egyike sem volt hiábavaló. Az összes hibajelentést katalogizálták, és beépítették egy olyan rendszerbe, amely automatikusan átvizsgálja a Google Play Áruház alkalmazásait hasonló problémák után kutatva. Ha hibát észlel, a sebezhető alkalmazás fejlesztői figyelmeztetést kapnak a Google Play Console-on keresztül, és lehetőségük van kijavítani a problémát, különben alkalmazásaik törlésre kerülnek a katalógusból. A rendszer neve App Security Improvement (ASI), és a vállalat szerint már 300 000 fejlesztőnek segített több mint 1 000 000 alkalmazás javításában a Google Playen.
