A Google anunciou oficialmente a expansão do seu programa de recompensas por bugs. Os investigadores poderão agora ganhar dinheiro ao detetar utilizações abusivas dos dados dos utilizadores e ao identificar vulnerabilidades em aplicações Android com mais de 100 milhões de instalações.
Programa de Recompensas para a Proteção de Dados dos Programadores (DDPRP)
A primeira novidade será o programa DDPRP , no qual os especialistas em segurança da informação poderão denunciar casos de abuso de dados dos utilizadores. Estes problemas podem ser encontrados em aplicações de terceiros com acesso à API da Google, em aplicações Android da Google Play Store, bem como em aplicações e extensões da Chrome Web Store.
“O objetivo deste programa é incentivar todos aqueles que possam fornecer provas fiáveis e inequívocas de utilização abusiva de dados”, afirmou a Google. «Este programa visa, em particular, identificar situações em que os dados dos utilizadores são utilizados ou vendidos de forma inesperada, bem como reutilizados ilegalmente sem o consentimento do utilizador.»
Os profissionais de segurança da informação que detetem casos de abuso de dados têm direito a uma recompensa até 50 000 dólares.
Neste caso, a Google segue o exemplo do Facebook. Em abril de 2018, após um escândalo envolvendo a Cambridge Analytica e a utilização abusiva de dados dos utilizadores, a rede social atualizou o programa de recompensas por bugs, para que as pessoas que descubram uma utilização abusiva deste tipo numa aplicação de terceiros possam receber até 40 000 $ em recompensas.
Permitam-me lembrar que, no início deste mês, o Facebook alargou a ação deste programa ao Instagram, na sequência de outro incidente desagradável relacionado com a Hyp3r. Com efeito, no início de agosto de 2019, a Hyp3r, parceira publicitária do Instagram, foi considerada culpada de recolher dados de utilizadores para a posterior compilação de perfis publicitários. A Hyp3r recolheu e armazenou secretamente milhões de histórias de utilizadores, imagens, dados de geolocalização, biografias, interesses, etc. Em consequência, a Hyp3r foi bloqueada pelo Facebook por violação das regras da plataforma.
Recompensas por bugs para grandes aplicações
Outro anúncio interessante da Google é um programa de recompensas para todos os erros encontrados nas aplicações de grande dimensão da Google Play Store. Os investigadores poderão agora procurar vulnerabilidades em todas as aplicações cujo contador de instalações tenha ultrapassado os 100 milhões e comunicar os problemas à Google. Neste caso, os programadores dessas aplicações não precisam de se inscrever especificamente nem de tomar quaisquer outras medidas.
Os relatórios sobre vulnerabilidades serão recebidos através do GPSRP, o programa de segurança do Google Play, na plataforma HackerOne , e depois serão encaminhados aos programadores das aplicações. Se estes não conseguirem corrigir os erros identificados, a Google excluirá as aplicações da Play Store.
Fait intéressant, les principaux développeurs tels que Facebook, Microsoft ou Twitter, qui ont leurs propres programmes de primes de bugs, ne sont pas exclus du GPSRP. De plus, Google affirme que les chercheurs peuvent signaler deux fois les erreurs: via GPSRP et directement via les programmes de primes de bugs des entreprises elles-mêmes, leur permettant ainsi de gagner deux fois plus de récompenses.
Bien qu’à première vue, il semble que Google paie de sa poche les bugs des applications tierces et que cela n’ait aucun sens, la société explique que c’est en fait pratique et rentable. Le fait est que GPSRP a été lancé en 2017, mais n’avait pas beaucoup de popularité: pour toujours, Google ne payait que 265 000 USD aux chercheurs, bien que le programme incluait déjà un certain nombre d’applications populaires (sélectionnées manuellement par Google).
A Google explica que todos os relatórios de vulnerabilidades recebidos nos últimos três anos não foram em vão. Todos os relatórios de erros foram catalogados e incluídos num sistema que analisa automaticamente as aplicações da Google Play Store à procura de problemas semelhantes. Se for detetado um bug, os programadores da aplicação vulnerável recebem um aviso através da consola do Google Play e têm a possibilidade de resolver o problema, caso contrário as suas aplicações são removidas do catálogo. Este sistema chama-se App Security Improvement (ASI) e, segundo a empresa , já ajudou 300 000 programadores a corrigir mais de 1 000 000 de aplicações no Google Play.
