Google ha ufficialmente annunciato l’espansione del suo programma di bug bounty. I ricercatori potranno ora guadagnare denaro individuando gli usi impropri dei dati degli utenti e identificando le vulnerabilità delle app Android con più di 100 milioni di installazioni.
Programma di ricompensa per la protezione dei dati degli sviluppatori (DDPRP)
La prima novità sarà il programma DDPRP , nel quale gli specialisti della sicurezza delle informazioni potranno segnalare i casi di abuso dei dati degli utenti. Tali problemi possono riscontrarsi nelle applicazioni di terze parti che hanno accesso all’API di Google, nelle app Android del Google Play Store, nonché nelle applicazioni e nelle estensioni del Chrome Web Store.
“L’obiettivo di questo programma è incoraggiare chiunque possa fornire prove affidabili e inequivocabili di un uso improprio dei dati”, ha dichiarato Google. «Questo programma mira in particolare a individuare le situazioni in cui i dati degli utenti vengono utilizzati o venduti in modo inatteso, nonché riutilizzati illegalmente senza il consenso dell’utente.»
Gli specialisti della sicurezza delle informazioni che individuano casi di abuso di dati hanno diritto a una ricompensa fino a 50.000 dollari.
In questo caso, Google segue l’esempio di Facebook. Nell’aprile 2018, dopo uno scandalo che ha coinvolto Cambridge Analytica e l’uso improprio dei dati da parte dell’utente, il social network ha aggiornato il programma di bug bounty in modo che chi scopre un simile abuso in un’applicazione di terze parti possa ricevere fino a 40.000 $ di ricompensa.
Permettetemi di ricordarvi che all’inizio di questo mese Facebook ha esteso l’azione di questo programma a Instagram, in seguito a un altro spiacevole episodio legato a Hyp3r. Infatti, all’inizio dell’agosto 2019, Hyp3r, partner pubblicitario di Instagram, è stato riconosciuto colpevole di aver raccolto dati degli utenti per la successiva compilazione di profili pubblicitari. Hyp3r ha raccolto e memorizzato in segreto milioni di storie degli utenti, immagini, dati di geolocalizzazione, biografie, interessi, ecc. Di conseguenza, Hyp3r è stata bloccata da Facebook per violazione delle regole della piattaforma.
Bug bounty per le grandi applicazioni
Un altro annuncio interessante di Google riguarda un programma di ricompensa per tutti gli errori riscontrati nelle applicazioni più diffuse del Google Play Store. I ricercatori potranno ora cercare vulnerabilità in tutte le applicazioni il cui contatore di installazioni ha superato i 100 milioni e segnalare i problemi a Google. In questo caso, gli sviluppatori di tali applicazioni non devono registrarsi specificamente né intraprendere altre azioni.
I rapporti sulle vulnerabilità saranno ricevuti tramite il GPSRP di sicurezza Google Play sulla piattaforma HackerOne , quindi saranno trasmessi agli sviluppatori delle applicazioni. Se questi non riusciranno a risolvere gli errori individuati, Google rimuoverà le applicazioni dal Play Store.
Curiosamente, i principali sviluppatori come Facebook, Microsoft o Twitter, che dispongono di propri programmi di bug bounty, non sono esclusi dal GPSRP. Inoltre, Google afferma che i ricercatori possono segnalare due volte gli errori: tramite il GPSRP e direttamente tramite i programmi di bug bounty delle aziende stesse, potendo così guadagnare il doppio delle ricompense.
Sebbene a prima vista possa sembrare che Google paghi di tasca propria i bug delle applicazioni di terze parti e che ciò non abbia alcun senso, l’azienda spiega che in realtà è pratico e redditizio. Il fatto è che il GPSRP è stato lanciato nel 2017, ma non aveva molta popolarità: in tutto questo tempo Google aveva pagato ai ricercatori solo 265.000 USD, sebbene il programma includesse già diverse applicazioni popolari (selezionate manualmente da Google).
Google spiega che tutte le segnalazioni di vulnerabilità ricevute negli ultimi tre anni non sono state vane. Tutti i rapporti sugli errori sono stati catalogati e inseriti in un sistema che analizza automaticamente le applicazioni del Google Play Store alla ricerca di problemi simili. Se viene rilevato un bug, gli sviluppatori dell’applicazione vulnerabile ricevono un avviso tramite la console Google Play e hanno la possibilità di risolvere il problema, altrimenti le loro applicazioni vengono rimosse dal catalogo. Questo sistema si chiama App Security Improvement (ASI) e, secondo l’azienda , ha già aiutato 300.000 sviluppatori a riparare più di 1.000.000 di applicazioni su Google Play.
