Google a officiellement annoncé l’expansion de son programme de récompense des bugs. Les chercheurs pourront désormais gagner de l’argent en détectant les utilisations abusives des données des utilisateurs et en identifiant les vulnérabilités des applications Android comptant plus de 100 millions d’installations.
Belöningsprogram för skydd av utvecklares data (DDPRP)
Den första nyheten blir programmet DDPRP, där informationssäkerhetsexperter kan rapportera fall av missbruk av användardata. Sådana problem kan förekomma i tredjepartsappar med åtkomst till Googles API, i Android-appar i Google Play Store samt i appar och tillägg i Chrome Web Store.
“Syftet med programmet är att uppmuntra alla som kan lägga fram tillförlitliga och entydiga bevis på missbruk av data”, uppgav Google. “Programmet syftar framför allt till att identifiera situationer där användardata används eller säljs på oväntade sätt, eller återanvänds olagligt utan användarens samtycke.”
Les professionnels de la sécurité de l’information qui détectent des cas d’abus de données ont droit à une récompense pouvant aller jusqu’à 50 000 dollars.
Här följer Google Facebooks exempel. I april 2018, efter en skandal kring Cambridge Analytica och missbruk av användardata, uppdaterade det sociala nätverket sitt bug bounty-program så att den som upptäcker sådant missbruk i en tredjepartsapp kan få upp till 40 000 USD i belöning.
Permettez-moi de vous rappeler qu’au début de ce mois, Facebook a étendu l’action de ce programme à Instagram après un autre incident fâcheux lié à Hyp3r. En effet, au début du mois d’août 2019, Hyp3r, partenaire publicitaire d’Instagram, a été reconnu coupable de collecte de données d’utilisateurs pour la constitution ultérieure de profils publicitaires. Hyp3r a secrètement collecté et stocké des millions de stories d’utilisateurs, d’images, de données de géolocalisation, de biographies, de centres d’intérêt, etc. En conséquence, Hyp3r a été bloqué par Facebook pour violation des règles de la plateforme.
Bug bounty för stora appar
Ett annat intressant besked från Google är ett belöningsprogram för alla fel som hittas i stora appar i Google Play Store. Forskare kan nu leta efter sårbarheter i alla appar som har över 100 miljoner installationer och rapportera problemen till Google. Utvecklarna av sådana appar behöver varken registrera sig särskilt eller vidta några andra åtgärder.
Rapporterna om sårbarheter tas emot via GPSRP, Google Play Security Reward Program, på plattformen HackerOne och vidarebefordras sedan till apputvecklarna. Om de inte lyckas åtgärda de identifierade felen tar Google bort apparna från Play Store.
Intressant nog undantas inte stora utvecklare som Facebook, Microsoft eller Twitter, som har egna bug bounty-program, från GPSRP. Google uppger dessutom att forskare kan rapportera felen två gånger: via GPSRP och direkt via företagens egna bug bounty-program, vilket gör att de kan tjäna dubbelt så mycket i belöningar.
Även om det vid första anblicken verkar som att Google betalar ur egen ficka för fel i tredjepartsappar och att det saknar mening, förklarar företaget att det i själva verket är praktiskt och lönsamt. GPSRP lanserades 2017 men var inte särskilt populärt: totalt betalade Google bara ut 265 000 USD till forskare, trots att programmet redan omfattade ett antal populära appar (som Google valt ut manuellt).
Google förklarar att alla sårbarhetsrapporter som kommit in under de senaste tre åren inte har varit förgäves. Alla felrapporter har katalogiserats och förts in i ett system som automatiskt skannar apparna i Google Play Store efter liknande problem. Om ett fel upptäcks får utvecklarna av den sårbara appen en varning via Google Play Console och får möjlighet att åtgärda problemet, annars tas apparna bort från katalogen. Systemet heter App Security Improvement (ASI) och enligt företaget har det redan hjälpt 300 000 utvecklare att åtgärda fel i över 1 000 000 appar på Google Play.
