Google oficjalnie ogłosił rozszerzenie swojego programu nagród za znalezione błędy (bug bounty). Badacze będą mogli teraz zarabiać, wykrywając nadużycia związane z danymi użytkowników oraz identyfikując podatności w aplikacjach na Androida, które mają ponad 100 milionów instalacji.
Program nagród za ochronę danych deweloperów (DDPRP)
Pierwszą nowością będzie program DDPRP, w ramach którego specjaliści ds. bezpieczeństwa informacji będą mogli zgłaszać przypadki nadużyć danych użytkowników. Takie problemy mogą występować w aplikacjach zewnętrznych mających dostęp do API Google, w aplikacjach na Androida w sklepie Google Play, a także w aplikacjach i rozszerzeniach w Chrome Web Store.
„Celem tego programu jest zachęcenie wszystkich, którzy mogą dostarczyć wiarygodnych i jednoznacznych dowodów nadużycia danych”, oświadczył Google. „Program ma w szczególności na celu wykrywanie sytuacji, w których dane użytkowników są wykorzystywane lub sprzedawane w nieoczekiwany sposób, a także ponownie wykorzystywane niezgodnie z prawem bez zgody użytkownika.”
Specjaliści ds. bezpieczeństwa informacji, którzy wykryją przypadki nadużyć danych, mogą otrzymać nagrodę w wysokości do 50 000 dolarów.
W tym przypadku Google idzie śladem Facebooka. W kwietniu 2018 roku, po skandalu z udziałem Cambridge Analytica i nadużyciem danych użytkowników, serwis społecznościowy zaktualizował swój program bug bounty, aby osoby, które odkryją takie nadużycie w aplikacji zewnętrznej, mogły otrzymać nagrodę do 40 000 dolarów.
Przypomnę, że na początku tego miesiąca Facebook rozszerzył działanie tego programu na Instagram po kolejnym nieprzyjemnym incydencie związanym z Hyp3r. Na początku sierpnia 2019 roku Hyp3r, partner reklamowy Instagrama, został uznany za winnego gromadzenia danych użytkowników w celu późniejszego tworzenia profili reklamowych. Hyp3r potajemnie zbierał i przechowywał miliony relacji użytkowników, zdjęć, danych geolokalizacyjnych, biogramów, zainteresowań i innych informacji. W rezultacie Facebook zablokował Hyp3r za naruszenie zasad platformy.
Nagrody za błędy w popularnych aplikacjach
Kolejnym interesującym ogłoszeniem Google jest program nagród za wszystkie błędy znalezione w dużych aplikacjach ze sklepu Google Play. Badacze będą mogli teraz szukać podatności we wszystkich aplikacjach, których licznik instalacji przekroczył 100 milionów, i zgłaszać problemy Google. Deweloperzy takich aplikacji nie muszą się w tym celu osobno rejestrować ani podejmować żadnych innych działań.
Zgłoszenia dotyczące podatności będą przyjmowane za pośrednictwem programu GPSRP (Google Play Security Reward Program) na platformie HackerOne, a następnie przekazywane deweloperom aplikacji. Jeśli nie naprawią oni wykrytych błędów, Google usunie aplikacje ze sklepu Play.
Co ciekawe, więksi deweloperzy, tacy jak Facebook, Microsoft czy Twitter, którzy mają własne programy bug bounty, nie są wyłączeni z GPSRP. Co więcej, Google twierdzi, że badacze mogą zgłaszać błędy dwukrotnie: przez GPSRP oraz bezpośrednio w programach bug bounty samych firm, co pozwala im zarobić dwa razy więcej nagród.
Choć na pierwszy rzut oka może się wydawać, że Google płaci z własnej kieszeni za błędy w aplikacjach firm trzecich i nie ma to żadnego sensu, firma wyjaśnia, że jest to w rzeczywistości praktyczne i opłacalne. Rzecz w tym, że GPSRP uruchomiono w 2017 roku, ale nie cieszył się dużą popularnością: przez cały ten czas Google wypłaciło badaczom zaledwie 265 000 USD, choć program obejmował już wiele popularnych aplikacji (wybranych ręcznie przez Google).
Google wyjaśnia, że wszystkie zgłoszenia podatności otrzymane w ciągu ostatnich trzech lat nie poszły na marne. Wszystkie raporty o błędach zostały skatalogowane i włączone do systemu, który automatycznie skanuje aplikacje w sklepie Google Play pod kątem podobnych problemów. Jeśli zostanie wykryty błąd, deweloperzy podatnej aplikacji otrzymują ostrzeżenie w konsoli Google Play i mają możliwość rozwiązania problemu, w przeciwnym razie ich aplikacje są usuwane ze sklepu. System ten nazywa się App Security Improvement (ASI) i, według firmy, pomógł już 300 000 deweloperów naprawić ponad 1 000 000 aplikacji w Google Play.
