Google офіційно оголосила про розширення своєї програми винагород за виявлення помилок (bug bounty). Тепер дослідники зможуть заробляти гроші, виявляючи зловживання даними користувачів і знаходячи вразливості в Android-застосунках, що мають понад 100 мільйонів установок.
Програма винагород за захист даних розробників (DDPRP)
Першою новинкою стане програма DDPRP, у межах якої фахівці з інформаційної безпеки зможуть повідомляти про випадки зловживання даними користувачів. Такі проблеми можуть траплятися в сторонніх застосунках із доступом до API Google, в Android-застосунках із Google Play Store, а також у застосунках і розширеннях із Chrome Web Store.
“Мета цієї програми — заохотити всіх, хто може надати надійні та однозначні докази зловживання даними”, — заявили в Google. «Програма спрямована передусім на виявлення ситуацій, коли дані користувачів використовуються чи продаються несподіваним чином, а також незаконно повторно використовуються без згоди користувача.»
Фахівці з інформаційної безпеки, які виявляють випадки зловживання даними, мають право на винагороду до 50 000 доларів.
У цьому Google наслідує приклад Facebook. У квітні 2018 року, після скандалу з Cambridge Analytica та зловживанням даними користувачів, соціальна мережа оновила програму винагород за виявлення помилок, щоб ті, хто знайде таке зловживання в стороннім застосунку, могли отримати до 40 000 $ винагороди.
Нагадаю, що на початку цього місяця Facebook поширила дію цієї програми на Instagram після ще одного неприємного інциденту, пов’язаного з Hyp3r. Річ у тім, що на початку серпня 2019 року Hyp3r, рекламного партнера Instagram, було викрито в зборі даних користувачів для подальшого складання рекламних профілів. Hyp3r таємно збирала та зберігала мільйони історій користувачів, зображень, геолокаційних даних, біографій, інтересів тощо. Унаслідок цього Facebook заблокувала Hyp3r за порушення правил платформи.
Винагорода за помилки у великих застосунках
Ще одне цікаве оголошення від Google — програма винагород за всі помилки, знайдені у великих застосунках із Google Play Store. Тепер дослідники зможуть шукати вразливості в усіх застосунках, лічильник установок яких перевищив 100 мільйонів, і повідомляти про проблеми до Google. При цьому розробникам таких застосунків не потрібно спеціально реєструватися чи вживати інших заходів.
Звіти про вразливості надходитимуть через GPSRP — програму безпеки Google Play на платформі HackerOne, після чого їх передаватимуть розробникам застосунків. Якщо ті не зможуть усунути виявлені помилки, Google вилучить застосунки з Play Store.
Цікаво, що великих розробників, як-от Facebook, Microsoft чи Twitter, які мають власні програми винагород за помилки, з GPSRP не виключено. Більше того, Google стверджує, що дослідники можуть повідомляти про помилки двічі: через GPSRP і безпосередньо через програми винагород самих компаній, отримуючи таким чином удвічі більше винагород.
Хоча на перший погляд може здатися, що Google платить зі своєї кишені за помилки у сторонніх застосунках і що це не має жодного сенсу, компанія пояснює, що насправді це зручно та вигідно. Річ у тім, що GPSRP запустили у 2017 році, але популярності він не мав: за весь час Google виплатила дослідникам лише 265 000 USD, хоча програма вже охоплювала низку популярних застосунків (вибраних Google вручну).
Google пояснює, що всі звіти про вразливості, отримані за останні три роки, були не марними. Усі звіти про помилки було каталогізовано та внесено до системи, яка автоматично сканує застосунки в Google Play Store на наявність подібних проблем. Якщо помилку виявлено, розробники вразливого застосунку отримують попередження через консоль Google Play і мають можливість усунути проблему, інакше їхні застосунки вилучають із каталогу. Ця система називається App Security Improvement (ASI), і, за даними компанії, вона вже допомогла 300 000 розробників виправити понад 1 000 000 застосунків у Google Play.
