Google secara resmi mengumumkan perluasan program bug bounty-nya. Para peneliti kini dapat memperoleh imbalan dengan menemukan penyalahgunaan data pengguna serta mengidentifikasi kerentanan pada aplikasi Android yang telah diinstal lebih dari 100 juta kali.
Program Hadiah Perlindungan Data Pengembang (DDPRP)
Inovasi pertama adalah program DDPRP , di mana para spesialis keamanan informasi dapat melaporkan kasus penyalahgunaan data pengguna. Masalah semacam ini dapat ditemukan pada aplikasi pihak ketiga yang memiliki akses ke API Google, pada aplikasi Android di Google Play Store, serta pada aplikasi dan ekstensi di Chrome Web Store.
“Tujuan program ini adalah mendorong siapa pun yang dapat memberikan bukti yang andal dan tidak ambigu tentang penyalahgunaan data”, kata Google. «Program ini secara khusus bertujuan mengidentifikasi situasi ketika data pengguna digunakan atau dijual secara tidak terduga, serta digunakan ulang secara ilegal tanpa persetujuan pengguna.»
Para profesional keamanan informasi yang menemukan kasus penyalahgunaan data berhak atas hadiah hingga 50.000 dolar.
Dalam hal ini, Google mengikuti contoh Facebook. Pada April 2018, setelah skandal yang melibatkan Cambridge Analytica dan penyalahgunaan data pengguna, jejaring sosial tersebut memperbarui program bug bounty-nya sehingga orang yang menemukan penyalahgunaan semacam itu pada aplikasi pihak ketiga dapat menerima hadiah hingga 40.000 $.
Perlu saya ingatkan bahwa pada awal bulan ini, Facebook memperluas cakupan program tersebut ke Instagram setelah insiden tidak menyenangkan lainnya yang terkait dengan Hyp3r. Pada awal Agustus 2019, Hyp3r, mitra periklanan Instagram, dinyatakan bersalah karena mengumpulkan data pengguna untuk kemudian menyusun profil iklan. Hyp3r secara diam-diam mengumpulkan dan menyimpan jutaan story pengguna, gambar, data geolokasi, biografi, minat, dan lainnya. Akibatnya, Hyp3r diblokir oleh Facebook karena melanggar aturan platform.
Bug bounty untuk aplikasi besar
Pengumuman menarik lainnya dari Google adalah program hadiah untuk semua kesalahan yang ditemukan pada aplikasi berskala besar di Google Play Store. Para peneliti kini dapat mencari kerentanan pada semua aplikasi yang jumlah instalasinya telah melampaui 100 juta, lalu melaporkan masalahnya kepada Google. Dalam hal ini, pengembang aplikasi tersebut tidak perlu mendaftar secara khusus atau mengambil langkah lain.
Laporan kerentanan akan diterima melalui GPSRP (Google Play Security Reward Program) di platform HackerOne , kemudian diteruskan kepada pengembang aplikasi. Jika mereka gagal memperbaiki kesalahan yang teridentifikasi, Google akan menghapus aplikasi tersebut dari Play Store.
Menariknya, pengembang besar seperti Facebook, Microsoft, atau Twitter, yang memiliki program bug bounty sendiri, tidak dikecualikan dari GPSRP. Selain itu, Google menyatakan bahwa para peneliti dapat melaporkan kesalahan dua kali: melalui GPSRP dan langsung melalui program bug bounty perusahaan yang bersangkutan, sehingga mereka dapat memperoleh hadiah dua kali lipat.
Meskipun sekilas tampak bahwa Google membayar sendiri bug pada aplikasi pihak ketiga dan hal itu tidak masuk akal, perusahaan menjelaskan bahwa sebenarnya langkah ini praktis dan menguntungkan. Faktanya, GPSRP diluncurkan pada 2017, tetapi tidak terlalu populer: selama ini Google hanya membayar 265.000 USD kepada para peneliti, meskipun program tersebut telah mencakup sejumlah aplikasi populer (yang dipilih secara manual oleh Google).
Google menjelaskan bahwa semua laporan kerentanan yang diterima selama tiga tahun terakhir tidaklah sia-sia. Semua laporan kesalahan telah dikatalogkan dan dimasukkan ke dalam sistem yang secara otomatis memindai aplikasi di Google Play Store untuk mencari masalah serupa. Jika sebuah bug terdeteksi, pengembang aplikasi yang rentan akan menerima peringatan melalui Google Play Console dan diberi kesempatan untuk memperbaiki masalah tersebut, atau aplikasinya akan dihapus dari katalog. Sistem ini bernama App Security Improvement (ASI) dan, menurut perusahaan , sistem ini telah membantu 300.000 pengembang memperbaiki lebih dari 1.000.000 aplikasi di Google Play.
