Google a anunțat oficial extinderea programului său de recompense pentru descoperirea de bug-uri. Cercetătorii vor putea câștiga bani depistând utilizările abuzive ale datelor utilizatorilor și identificând vulnerabilitățile aplicațiilor Android care au peste 100 de milioane de instalări.
Programul de recompense pentru protecția datelor dezvoltatorilor (DDPRP)
Prima noutate va fi programul DDPRP, în cadrul căruia specialiștii în securitatea informației vor putea raporta cazurile de abuz asupra datelor utilizatorilor. Astfel de probleme pot fi întâlnite în aplicațiile terțe care au acces la API-ul Google, în aplicațiile Android din Google Play Store, precum și în aplicațiile și extensiile din Chrome Web Store.
„Scopul acestui program este să încurajeze pe oricine poate furniza dovezi credibile și lipsite de ambiguitate privind utilizarea abuzivă a datelor”, a declarat Google. „Programul urmărește în special să identifice situațiile în care datele utilizatorilor sunt folosite sau vândute în mod neașteptat, precum și reutilizate ilegal fără consimțământul utilizatorului.”
Specialiștii în securitatea informației care depistează cazuri de abuz asupra datelor au dreptul la o recompensă de până la 50.000 de dolari.
În acest caz, Google urmează exemplul Facebook. În aprilie 2018, după un scandal care a implicat Cambridge Analytica și utilizarea abuzivă a datelor utilizatorilor, rețeaua socială și-a actualizat programul de recompense pentru bug-uri, astfel încât cei care descoperă o astfel de utilizare abuzivă într-o aplicație terță să poată primi recompense de până la 40.000 de dolari.
Permettez-moi de vous rappeler qu’au début de ce mois, Facebook a étendu l’action de ce programme sur Instagram après un autre incident déplaisant lié à Hyp3r. En effet, au début du mois d’août 2019, Hyp3r, partenaire publicitaire d’Instagram, a été reconnu coupable de collecte de données d’utilisateur pour la compilation ultérieure de profils de publicité. Hyp3r a secrètement collecté et stocké des millions de récits d’utilisateurs, d’images, de données de géolocalisation, de biographies, d’intérêts, etc. En conséquence, Hyp3r a été bloqué par Facebook pour violation des règles de la plate-forme.
Recompense pentru bug-uri în aplicațiile mari
Un alt anunț interesant din partea Google este un program de recompense pentru toate erorile găsite în aplicațiile de mari dimensiuni din Google Play Store. Cercetătorii vor putea acum să caute vulnerabilități în toate aplicațiile al căror contor de instalări a depășit 100 de milioane și să raporteze problemele către Google. În acest caz, dezvoltatorii unor astfel de aplicații nu trebuie să se înscrie special și nici să întreprindă alte măsuri.
Rapoartele privind vulnerabilitățile vor fi primite prin GPSRP, programul de securitate Google Play, pe platforma HackerOne, apoi vor fi transmise dezvoltatorilor aplicațiilor. Dacă aceștia nu reușesc să remedieze erorile identificate, Google va elimina aplicațiile din Play Store.
Interesant este că dezvoltatorii importanți precum Facebook, Microsoft sau Twitter, care au propriile programe de recompense pentru bug-uri, nu sunt excluși din GPSRP. În plus, Google afirmă că cercetătorii pot raporta erorile de două ori: prin GPSRP și direct prin programele de recompense ale companiilor respective, ceea ce le permite să câștige de două ori mai multe recompense.
Deși la prima vedere pare că Google plătește din buzunarul propriu pentru bug-urile aplicațiilor terțe și că acest lucru nu are sens, compania explică faptul că, în realitate, este o abordare practică și rentabilă. Adevărul este că GPSRP a fost lansat în 2017, dar nu a avut mare popularitate: în tot acest timp, Google a plătit cercetătorilor doar 265.000 USD, deși programul includea deja o serie de aplicații populare (selectate manual de Google).
Google explique que tous les rapports de vulnérabilité reçus au cours des trois dernières années n’ont pas été vains. Tous les rapports d’erreur ont été catalogués et inclus dans un système qui analyse automatiquement les applications du Google Play Store à la recherche de problèmes similaires. Si un bug est détecté, les développeurs de l’application vulnérable reçoivent un avertissement via la console Google Play et ont la possibilité de résoudre le problème ou leurs applications sont supprimées du répertoire. Ce système s’appelle App Security Improvement (ASI) et, selon la société , il a déjà aidé 300 000 développeurs à réparer plus de 1 000 000 d’applications sur Google Play.
