Googlen esittelemä Google Play Security Rewards -ohjelma
Googlella on vuosien varrella ollut useita palkkioihin perustuvia ohjelmia, jotka motivoivat tietoturvatutkijoita auttamaan löytämään vikoja tuotteistaan. Google Chromelle, ChromeOS :lle, Androidille ja useille muille Googlen valmistamille tuotteille ja palveluille on ollut tietoturvapalkinto-ohjelmia. Google on kuitenkin nyt julkistanut uusimman tällaisen ohjelman: Google Play Security Rewards -ohjelman.
Kun useita haittaohjelmia ja haitallisia sovelluksia löydettiin pääsevän Googlen suojausjärjestelmien läpi, Google esitteli Google Play Protectin varmistaakseen, että tämä vähenee. Haittaohjelmat kulkivat kuitenkin edelleen suojausmekanismien ohi. Google luottaa nyt tietoturvatutkijoihin, jotka auttavat heitä Google Play Security Rewards -ohjelman kanssa.
Google Play Security Rewards -ohjelma esitellään yhteistyössä HackerOnen kanssa – bug bounty -alustan. Ohjelman tavoitteena on kannustaa tietoturvatutkimusta kohti suosittuja Android-sovelluksia Google Play Kaupassa, mikä auttaa varmistamaan, että käyttäjät pysyvät suojattuna.
Google huomautti, että muut vastaavat palkkiopohjaiset ohjelmat ovat olleet melko menestyneitä aiemmin. Toistaiseksi tämän ohjelman soveltamisala on rajoitettu haavoittuvuuksiin, jotka perustuvat etäohjauksen suorittamiseen (RCE-hyökkäykset) Android 4.4:ssä tai uudemmissa. RCE-hyökkäykset ovat hyökkäyksiä, joissa haittaohjelma voi suorittaa koodin laitteella ilman käyttäjän lupaa.
HackerOne selittää, kuinka tämä ohjelma toimii:
- Prosessi alkaa siitä, että tietoturvatutkija (hakkeri) tunnistaa haavoittuvuuden Google Play Kaupan sovelluksessa.
- Hakkerin on ilmoitettava tästä haavoittuvuudesta suoraan sovelluksen kehittäjälle haavoittuvuuden paljastamisprosessin kautta.
- Tämän jälkeen hakkeri tekee yhteistyötä sovelluksen kehittäjän kanssa auttaakseen heitä korjaamaan sovelluksensa haavoittuvuuden.
- Haavoittuvuuden korjaamisen jälkeen hakkeri voi nyt pyytää palkintoa Google Play Security Rewards -ohjelmasta.
- Android Security Team palkitsee hakkerin.
Lähde: HackerOne