Programa de recompensas de seguridad de Google Play presentado por Google
A lo largo de los años, Google ha tenido una serie de programas basados en recompensas que motivan a los investigadores de seguridad a ayudar a encontrar errores en sus productos. Ha habido programas de recompensas de seguridad para Google Chrome, ChromeOS, Android y una serie de otros productos y servicios creados por Google. Sin embargo, Google ha anunciado el último programa de este tipo: el Programa de recompensas de seguridad de Google Play.
Después de que se encontraron una serie de malware y aplicaciones maliciosas abriéndose camino a través de los sistemas de seguridad de Google, Google introdujo Google Play Protect para garantizar que esto se reduzca. Sin embargo, el malware seguía abriéndose paso a través de los mecanismos de seguridad. Google ahora confía en los investigadores de seguridad para ayudarlos con el Programa de recompensas de seguridad de Google Play.
El programa de recompensas de seguridad de Google Play se presenta en colaboración con HackerOne, una plataforma de recompensas por errores. El objetivo del programa es incentivar la investigación de seguridad hacia aplicaciones populares de Android en Google Play Store, lo que ayudará a garantizar que los usuarios permanezcan protegidos.
Google señaló que otros programas similares basados en recompensas han tenido bastante éxito en el pasado. A partir de ahora, el alcance de este programa se limita a las vulnerabilidades que se basan en la ejecución de control remoto (ataques RCE) en Android 4.4 o superior. Los ataques RCE son aquellos ataques en los que un malware puede ejecutar un código en un dispositivo sin el permiso del usuario.
HackerOne explica cómo funciona este programa:
- El proceso comienza cuando el investigador de seguridad (hacker) identifica una vulnerabilidad en una aplicación en Google Play Store.
- El pirata informático debe informar esta vulnerabilidad directamente al desarrollador de la aplicación a través del proceso de divulgación de vulnerabilidades.
- Luego, el pirata informático colabora con el desarrollador de la aplicación para ayudarlo a corregir la vulnerabilidad en su aplicación.
- Tras la resolución de la vulnerabilidad, el hacker ahora es elegible para solicitar una recompensa del Programa de recompensas de seguridad de Google Play.
- El equipo de seguridad de Android recompensa al hacker.
Fuente: HackerOne