Google a officiellement annoncé l’expansion de son programme de prime aux bugs. Les chercheurs pourront désormais gagner de l’argent en détectant les utilisations abusives des données des utilisateurs et en identifiant les vulnérabilités des applications Android comportant plus de 100 millions d’installations.
Belønningsprogram for databeskyttelse for utviklere (DDPRP)
Den første nyheten blir programmet DDPRP, der informasjonssikkerhetseksperter kan rapportere tilfeller av misbruk av brukerdata. Slike problemer kan oppdages i tredjepartsapper med tilgang til Google API-et, i Android-apper i Google Play Store, samt i apper og utvidelser i Chrome Web Store.
«Målet med dette programmet er å oppmuntre alle som kan fremlegge pålitelige og entydige bevis på misbruk av data», uttalte Google. «Programmet tar særlig sikte på å avdekke situasjoner der brukerdata brukes eller selges på uventede måter, eller gjenbrukes ulovlig uten brukerens samtykke.»
Informasjonssikkerhetseksperter som oppdager tilfeller av datamisbruk, har rett på en belønning på opptil 50 000 dollar.
Her følger Google Facebooks eksempel. I april 2018, etter en skandale rundt Cambridge Analytica og misbruk av brukerdata, oppdaterte det sosiale nettverket bug bounty-programmet sitt, slik at personer som oppdager slikt misbruk i en tredjepartsapp, kan motta belønninger på opptil 40 000 dollar.
Tillat meg minne deg på at Facebook i begynnelsen av denne måneden utvidet dette programmet til å gjelde Instagram, etter en annen ubehagelig hendelse knyttet til Hyp3r. I begynnelsen av august 2019 ble Hyp3r, en annonsepartner for Instagram, dømt for å ha samlet inn brukerdata for senere sammenstilling av annonseprofiler. Hyp3r samlet i hemmelighet inn og lagret millioner av brukeres historier, bilder, geolokaliseringsdata, biografier, interesser osv. Som en konsekvens ble Hyp3r blokkert av Facebook for brudd på plattformens regler.
Feilbelønning for store applikasjoner
En annen interessant nyhet fra Google er et belønningsprogram for alle feil som finnes i store applikasjoner i Google Play Store. Forskere kan nå lete etter sårbarheter i alle applikasjoner som har passert 100 millioner installasjoner, og rapportere problemene til Google. I dette tilfellet trenger utviklerne av slike applikasjoner ikke å registrere seg spesifikt eller ta andre tiltak.
Sårbarhetsrapporter mottas via GPSRP for Google Play-sikkerhet på HackerOne-plattformen , og videresendes deretter til applikasjonsutviklerne. Dersom de ikke klarer å rette de identifiserte feilene, vil Google fjerne applikasjonene fra Play Store.
Interessant nok er ikke de største utviklerne, som Facebook, Microsoft og Twitter, som har sine egne feilbelønningsprogrammer, utelatt fra GPSRP. Google hevder dessuten at forskere kan rapportere feilene to ganger: via GPSRP og direkte gjennom selskapenes egne feilbelønningsprogrammer, og dermed tjene dobbelt så mye i belønning.
Selv om det ved første øyekast kan virke som om Google betaler av egen lomme for feil i tredjepartsapplikasjoner, og at dette ikke gir mening, forklarer selskapet at det faktisk er praktisk og lønnsomt. Saken er at GPSRP ble lansert i 2017, men fikk ikke stor popularitet: Google betalte bare 265 000 USD til forskere totalt, selv om programmet allerede omfattet en rekke populære applikasjoner (valgt manuelt av Google).
Google forklarer at alle sårbarhetsrapporter mottatt de siste tre årene ikke har vært forgjeves. Alle feilrapporter er katalogisert og inkludert i et system som automatisk analyserer applikasjonene i Google Play Store for lignende problemer. Dersom en feil oppdages, får utviklerne av den sårbare applikasjonen en advarsel via Google Play-konsollen og har mulighet til å løse problemet, ellers fjernes applikasjonene fra katalogen. Dette systemet kalles App Security Improvement (ASI) og har ifølge selskapet allerede hjulpet 300 000 utviklere med å reparere mer enn 1 000 000 applikasjoner på Google Play.
