Google meningkatkan karunia bug Play Store
Google mempermudah peneliti keamanan untuk mendapatkan bayaran karena menemukan bug di Play Store dengan meningkatkan cakupan Program Hadiah Keamanan Google Play (GPSRP) ke semua aplikasi di toko dengan 100 juta atau lebih pemasangan.
Raksasa pencarian juga telah meluncurkan program baru bekerja sama dengan HackerOne yang disebut Program Penghargaan Perlindungan Data Pengembang (DDPRP) yang bertujuan menemukan pelanggaran data di aplikasi Android, proyek OAuth, dan ekstensi Chrome.
Sejak peluncuran program karunia bug pada tahun 2010, Google telah membayar peneliti keamanan lebih dari $ 15 juta dan GPSRP telah membayar lebih dari $ 256rb dalam karunia sejauh ini. Dengan menambahkan aplikasi Android populer ke program, perusahaan membuat mereka memenuhi syarat untuk hadiah terlepas dari apakah pengembang aplikasi memiliki pengungkapan kerentanan mereka sendiri atau program karunia bug.
Sebagai imbalan untuk membayar bug bug, Google akan menggunakan data kerentanan yang dikumpulkan oleh peneliti keamanan untuk membantu membuat pemeriksaan otomatis yang memindai semua aplikasi di Play Store untuk mengetahui kerentanan yang sama. Pengembang yang aplikasinya mengandung bug diberitahu melalui Play Console dan program Peningkatan Keamanan Aplikasi (ASI) akan memberi mereka informasi tentang kerentanan dan cara memperbaikinya. Kembali pada bulan Februari, Google mengungkapkan bahwa ASI telah membantu lebih dari 300 ribu pengembang memperbaiki lebih dari 1 juta aplikasi di Google Play.
Program Hadiah Perlindungan Data Pengembang
Selain memperluas program karunia bug Android saat ini, Google juga meluncurkan DDPRP untuk mengidentifikasi dan mengurangi masalah penyalahgunaan data di aplikasi Android, proyek OAuth, dan ekstensi Chrome. Alih-alih menemukan kerentanan, program ini akan menghargai peneliti keamanan yang menemukan dan melaporkan aplikasi yang melanggar kebijakan program Google Play, Google API atau Chrome Extensions Store.
Mereka yang dapat menemukan bukti penyalahgunaan data yang dapat diverifikasi dapat dibayar. Pada halaman DDPRP di situs web HackerOne, Google menyoroti aplikasi yang mengakses kontak pengguna dan tidak memperlakukan data ini sebagai data pribadi atau sensitif serta aplikasi yang melanggar kebijakan izinnya dengan menggunakan data kontak tanpa izin pengguna untuk layanan lain yang tidak terkait dengan aplikasi asli.
Perusahaan tidak memberikan jumlah hadiah maksimum tetapi tergantung pada dampaknya, satu laporan dapat memberi peneliti keamanan hadiah $ 50k.
Aplikasi Android dan ekstensi Chrome yang menyalahgunakan data pengguna akan dihapus dari toko masing-masing dan jika pengembang juga ditemukan menyalahgunakan akses ke lingkup terbatas Gmail, akses API mereka akan dihapus.
Melalui VentureBeat
