Google heeft officieel de uitbreiding van zijn bug bounty-programma aangekondigd. Onderzoekers kunnen voortaan geld verdienen door misbruik van gebruikersgegevens op te sporen en kwetsbaarheden te identificeren in Android-apps met meer dan 100 miljoen installaties.
Beloningsprogramma voor de bescherming van ontwikkelaarsgegevens (DDPRP)
De eerste vernieuwing is het DDPRP-programma, waarin informatiebeveiligingsspecialisten gevallen van misbruik van gebruikersgegevens kunnen melden. Deze problemen kunnen voorkomen bij apps van derden met toegang tot de Google API, in Android-apps uit de Google Play Store, en in apps en extensies uit de Chrome Web Store.
“Het doel van dit programma is om iedereen aan te moedigen die betrouwbaar en ondubbelzinnig bewijs kan leveren van misbruik van gegevens”, aldus Google. «Dit programma richt zich in het bijzonder op het identificeren van situaties waarin gebruikersgegevens onverwacht worden gebruikt of verkocht, en illegaal worden hergebruikt zonder toestemming van de gebruiker.»
Professionals op het gebied van informatiebeveiliging die gevallen van gegevensmisbruik aantonen, kunnen een beloning krijgen van maximaal 50.000 dollar.
In dit geval volgt Google het voorbeeld van Facebook. In april 2018, na een schandaal rond Cambridge Analytica en het misbruik van gebruikersgegevens, heeft het sociale netwerk zijn bug bounty-programma aangepast, zodat mensen die dergelijk misbruik in een app van derden ontdekken, tot 40.000 dollar aan beloningen kunnen ontvangen.
Laat me eraan herinneren dat Facebook begin deze maand de werking van dit programma heeft uitgebreid naar Instagram, na een ander onaangenaam incident met Hyp3r. Begin augustus 2019 werd Hyp3r, een advertentiepartner van Instagram, schuldig bevonden aan het verzamelen van gebruikersgegevens voor het later samenstellen van advertentieprofielen. Hyp3r verzamelde en sloeg in het geheim miljoenen gebruikersverhalen, afbeeldingen, locatiegegevens, biografieën, interesses enzovoort op. Als gevolg hiervan werd Hyp3r door Facebook geblokkeerd wegens schending van de platformregels.
Bug bounty voor grote apps
Een andere interessante aankondiging van Google is een beloningsprogramma voor alle fouten die worden gevonden in grote apps uit de Google Play Store. Onderzoekers kunnen voortaan zoeken naar kwetsbaarheden in alle apps waarvan het aantal installaties de 100 miljoen heeft overschreden, en problemen aan Google melden. In dit geval hoeven ontwikkelaars van dergelijke apps zich niet specifiek aan te melden of andere stappen te ondernemen.
Kwetsbaarheidsrapporten worden ontvangen via het GPSRP Google Play Security Reward Program op het HackerOne-platform en worden vervolgens doorgestuurd naar de app-ontwikkelaars. Als zij de vastgestelde fouten niet weten op te lossen, zal Google de apps uit de Play Store verwijderen.
Opvallend genoeg worden grote ontwikkelaars zoals Facebook, Microsoft of Twitter, die hun eigen bug bounty-programma’s hebben, niet uitgesloten van het GPSRP. Bovendien stelt Google dat onderzoekers fouten twee keer kunnen melden: via het GPSRP en rechtstreeks via de bug bounty-programma’s van de bedrijven zelf, waardoor ze twee keer zoveel beloningen kunnen verdienen.
Hoewel het op het eerste gezicht lijkt alsof Google uit eigen zak betaalt voor bugs in apps van derden, en dat dit geen zin heeft, legt het bedrijf uit dat dit in feite praktisch en winstgevend is. Het GPSRP werd in 2017 gelanceerd, maar kende niet veel populariteit: in totaal betaalde Google onderzoekers slechts 265.000 USD, hoewel het programma al een aantal populaire apps omvatte (handmatig geselecteerd door Google).
Google legt uit dat alle kwetsbaarheidsrapporten die de afgelopen drie jaar zijn ontvangen, niet voor niets zijn geweest. Alle foutrapporten zijn gecatalogiseerd en opgenomen in een systeem dat automatisch apps uit de Google Play Store analyseert op vergelijkbare problemen. Als er een bug wordt gedetecteerd, ontvangen de ontwikkelaars van de kwetsbare app een waarschuwing via de Google Play Console en krijgen ze de kans het probleem op te lossen, anders worden hun apps uit de catalogus verwijderd. Dit systeem heet App Security Improvement (ASI) en heeft volgens het bedrijf al 300.000 ontwikkelaars geholpen meer dan 1.000.000 apps op Google Play te repareren.
