Google официально объявила о расширении своей программы вознаграждений за обнаружение багов. Теперь исследователи смогут зарабатывать, выявляя случаи злоупотребления пользовательскими данными, а также находя уязвимости в приложениях для Android с более чем 100 миллионами установок.
Программа вознаграждений за защиту данных разработчиков (DDPRP)
Первым нововведением станет программа DDPRP, в рамках которой специалисты по информационной безопасности смогут сообщать о случаях злоупотребления данными пользователей. Такие проблемы могут возникать в сторонних приложениях, имеющих доступ к API Google, в приложениях Android из Google Play Store, а также в приложениях и расширениях из Chrome Web Store.
“Цель этой программы — поощрить всех, кто может предоставить надёжные и недвусмысленные доказательства злоупотребления данными”, — заявили в Google. «Программа направлена, в частности, на выявление ситуаций, в которых пользовательские данные используются или продаются неожиданным образом, а также незаконно повторно используются без согласия пользователя.»
Специалисты по информационной безопасности, обнаружившие случаи злоупотребления данными, могут получить вознаграждение в размере до 50 000 долларов.
В этом случае Google следует примеру Facebook. В апреле 2018 года, после скандала с участием Cambridge Analytica и злоупотребления пользовательскими данными, соцсеть обновила программу вознаграждений за баги, чтобы те, кто обнаружит подобное злоупотребление в стороннем приложении, могли получить до 40 000 долларов.
Напомню, что в начале этого месяца Facebook распространил действие этой программы на Instagram после очередного неприятного инцидента, связанного с Hyp3r. В начале августа 2019 года Hyp3r, рекламный партнёр Instagram, был признан виновным в сборе пользовательских данных для последующего составления рекламных профилей. Hyp3r тайно собирала и хранила миллионы пользовательских историй, изображений, данных геолокации, биографий, интересов и т. д. В результате Facebook заблокировал Hyp3r за нарушение правил платформы.
Вознаграждение за баги в крупных приложениях
Ещё одно интересное объявление Google — программа вознаграждений за любые ошибки, найденные в крупных приложениях Google Play Store. Исследователи смогут искать уязвимости во всех приложениях, количество установок которых превысило 100 миллионов, и сообщать о проблемах в Google. При этом разработчикам таких приложений не нужно специально регистрироваться или предпринимать другие действия.
Отчёты об уязвимостях будут приниматься через GPSRP службы безопасности Google Play на платформе HackerOne, после чего передаваться разработчикам приложений. Если они не смогут исправить выявленные ошибки, Google исключит приложения из Play Store.
Примечательно, что крупные разработчики, такие как Facebook, Microsoft или Twitter, у которых есть собственные программы вознаграждений за баги, не исключены из GPSRP. Кроме того, Google утверждает, что исследователи могут сообщать об ошибках дважды: через GPSRP и напрямую через программы вознаграждений самих компаний, что позволяет получить вдвое больше вознаграждений.
Хотя на первый взгляд может показаться, что Google платит из своего кармана за баги в сторонних приложениях и это не имеет смысла, компания объясняет, что на деле это практично и выгодно. Дело в том, что GPSRP был запущен в 2017 году, но не пользовался большой популярностью: за всё время Google выплатил исследователям лишь 265 000 долларов, хотя в программу уже входило несколько популярных приложений (отобранных Google вручную).
Google сообщает, что все отчёты об уязвимостях, полученные за последние три года, не пропали даром. Все сообщения об ошибках были систематизированы и включены в систему, которая автоматически анализирует приложения Google Play Store на предмет схожих проблем. Если обнаруживается ошибка, разработчики уязвимого приложения получают предупреждение через консоль Google Play и могут исправить проблему, иначе их приложения удаляются из каталога. Эта система называется App Security Improvement (ASI), и, по словам компании, она уже помогла 300 000 разработчикам исправить более 1 000 000 приложений в Google Play.
