Google a officiellement annoncé l’expansion de son programme de prime aux bugs. Les chercheurs pourront désormais gagner de l’argent en détectant les utilisations abusives des données des utilisateurs et en identifiant les vulnérabilités des applications Android comportant plus de 100 millions d’installations.
Geliştirici Veri Koruma Ödül Programı (DDPRP)
İlk yenilik, bilgi güvenliği uzmanlarının kullanıcı verilerinin kötüye kullanıldığı durumları bildirebileceği DDPRP programı olacak. Bu tür sorunlara Google API’sine erişimi olan üçüncü taraf uygulamalarda, Google Play Store’daki Android uygulamalarında ve Chrome Web Mağazası’ndaki uygulama ve uzantılarda rastlanabilir.
Google, “Bu programın amacı, verilerin kötüye kullanıldığına dair güvenilir ve net kanıtlar sunabilecek herkesi teşvik etmektir” dedi. “Program özellikle, kullanıcı verilerinin beklenmedik şekilde kullanıldığı veya satıldığı, ayrıca kullanıcının rızası olmadan yasa dışı biçimde yeniden kullanıldığı durumları tespit etmeyi amaçlıyor.”
Veri kötüye kullanımı vakalarını tespit eden bilgi güvenliği uzmanları, 50.000 dolara kadar ödül almaya hak kazanıyor.
Bu konuda Google, Facebook’u örnek alıyor. Nisan 2018’de, Cambridge Analytica’nın karıştığı ve kullanıcı verilerinin kötüye kullanıldığı skandalın ardından sosyal ağ, üçüncü taraf bir uygulamada bu tür bir kötüye kullanımı keşfedenlerin 40.000 dolara kadar ödül alabilmesi için hata ödül programını güncellemişti.
Permettez-moi de vous rappeler qu’au début de ce mois, Facebook a étendu l’action de ce programme à Instagram après un autre incident fâcheux lié à Hyp3r. En effet, au début du mois d’août 2019, Hyp3r, partenaire publicitaire d’Instagram, a été reconnu coupable de collecte de données d’utilisateurs en vue de la constitution ultérieure de profils publicitaires. Hyp3r a secrètement collecté et stocké des millions de récits d’utilisateurs, d’images, de données de géolocalisation, de biographies, d’intérêts, etc. En conséquence, Hyp3r a été bloqué par Facebook pour violation des règles de la plateforme.
Büyük uygulamalar için hata ödülü
Google’ın bir diğer ilginç duyurusu, Google Play Store’daki büyük uygulamalarda bulunan tüm hatalar için bir ödül programı oldu. Araştırmacılar artık yükleme sayısı 100 milyonu aşan tüm uygulamalarda güvenlik açığı arayabilecek ve sorunları Google’a bildirebilecek. Bu durumda, söz konusu uygulamaların geliştiricilerinin özel olarak kayıt olmasına ya da başka bir işlem yapmasına gerek yok.
Güvenlik açığı raporları, HackerOne platformundaki Google Play Güvenliği GPSRP üzerinden alınacak ve ardından uygulama geliştiricilerine iletilecek. Geliştiriciler tespit edilen hataları gideremezse, Google bu uygulamaları Play Store’dan kaldıracak.
İlginç olan, kendi hata ödül programlarına sahip Facebook, Microsoft veya Twitter gibi büyük geliştiricilerin GPSRP kapsamının dışında tutulmaması. Ayrıca Google, araştırmacıların hataları iki kez bildirebileceğini belirtiyor: hem GPSRP üzerinden hem de doğrudan şirketlerin kendi hata ödül programları aracılığıyla. Böylece iki kat fazla ödül kazanabiliyorlar.
İlk bakışta Google’ın üçüncü taraf uygulamalardaki hataların bedelini kendi cebinden ödediği ve bunun anlamsız olduğu izlenimi doğsa da şirket, bunun aslında pratik ve kârlı olduğunu açıklıyor. Mesele şu ki GPSRP 2017’de başlatıldı ancak pek popüler olmadı: Google bugüne kadar araştırmacılara yalnızca 265.000 ABD doları ödedi; oysa program, Google’ın elle seçtiği birçok popüler uygulamayı zaten kapsıyordu.
Google, son üç yılda alınan tüm güvenlik açığı raporlarının boşa gitmediğini belirtiyor. Tüm hata raporları kataloglandı ve Google Play Store’daki uygulamaları benzer sorunlar açısından otomatik olarak tarayan bir sisteme dahil edildi. Bir hata tespit edilirse, savunmasız uygulamanın geliştiricileri Google Play Console üzerinden uyarı alıyor ve sorunu çözme imkanına sahip oluyor; aksi halde uygulamaları dizinden kaldırılıyor. Bu sistemin adı App Security Improvement (ASI) ve şirketin açıklamasına göre, 300.000 geliştiricinin Google Play’de 1.000.000’dan fazla uygulamayı düzeltmesine şimdiden yardımcı oldu.
