谷歌正式宣布扩大其漏洞赏金计划。研究人员现在可以通过发现用户数据滥用行为，以及找出安装量超过 1 亿次的 Android 应用中的安全漏洞来赚取奖金。
开发者数据保护奖励计划（DDPRP）
首个新举措是 DDPRP 计划，信息安全专家可以通过该计划举报用户数据滥用的情况。这类问题可能出现在能够访问 Google API 的第三方应用、Google Play 商店中的 Android 应用，以及 Chrome 网上应用店中的应用和扩展程序里。
谷歌表示：“该计划旨在鼓励所有能够提供可靠且明确的数据滥用证据的人。” “该计划尤其致力于找出用户数据被意外使用或出售，以及未经用户同意被非法再利用的情形。”
发现数据滥用行为的信息安全专业人员，最高可获得 50,000 美元的奖励。
在这一点上，谷歌效仿了 Facebook。2018 年 4 月，在剑桥分析公司（Cambridge Analytica）丑闻及用户数据滥用事件之后，这家社交网络更新了漏洞赏金计划，发现第三方应用中此类滥用行为的人最高可获得 40,000 美元的奖励。
提醒一下，本月初，Facebook 在 Hyp3r 引发又一起不愉快的事件之后，将该计划的适用范围扩大到了 Instagram。2019 年 8 月初，Instagram 的广告合作伙伴 Hyp3r 被认定收集用户数据，用于后续编制广告画像。Hyp3r 秘密收集并存储了数百万条用户快拍、图片、地理位置数据、个人简介和兴趣爱好等信息。因此，Hyp3r 因违反平台规则而被 Facebook 封禁。
针对大型应用的漏洞赏金
谷歌的另一项值得关注的公告，是针对 Google Play 商店中大型应用所发现的各类错误设立的奖励计划。 研究人员现在可以在所有安装量超过 1 亿次的应用中查找漏洞，并向谷歌报告问题。 此类应用的开发者无需专门注册，也无需采取其他任何措施。
漏洞报告将通过 HackerOne 平台上的 Google Play 安全奖励计划（GPSRP） 接收，随后转交给应用开发者。如果开发者未能修复已发现的错误，谷歌将把相关应用从 Play 商店下架。
有意思的是，Facebook、微软或 Twitter 等拥有自家漏洞赏金计划的主要开发者，并未被排除在 GPSRP 之外。此外，谷歌称研究人员可以重复报告这些错误：既可以通过 GPSRP，也可以直接通过相关公司自己的漏洞赏金计划，从而获得双倍奖励。
乍看之下，谷歌似乎是在自掏腰包为第三方应用的漏洞买单，毫无道理可言，但该公司解释说，这实际上既实用又划算。事实上，GPSRP 于 2017 年启动，但并未获得太多关注：迄今为止，谷歌仅向研究人员支付了 265,000 美元，尽管该计划当时已涵盖了一些热门应用（由谷歌手动挑选）。
谷歌解释说，过去三年里收到的所有漏洞报告都没有白费。所有错误报告都已被归档，并纳入一个系统，该系统会自动扫描 Google Play 商店中的应用，查找类似问题。一旦发现漏洞，存在漏洞的应用开发者就会通过 Google Play 管理中心收到警告，并有机会修复问题，否则其应用将从目录中移除。该系统名为 应用安全改进计划（App Security Improvement，ASI），据该公司称，它已帮助 30 万名开发者修复了 Google Play 上超过 100 万款应用的问题。
