Programme de récompenses de sécurité Google Play présenté par Google

Au fil des ans, Google a mis en place un certain nombre de programmes basés sur des récompenses qui motivent les chercheurs en sécurité à aider à trouver des bogues dans leurs produits. Il existe des programmes de récompenses de sécurité pour Google Chrome, ChromeOS, Android et un certain nombre d'autres produits et services créés par Google. Cependant, Google a maintenant annoncé le dernier programme de ce type : le programme Google Play Security Rewards.

Après qu'un certain nombre de logiciels malveillants et d'applications malveillantes ont été découverts dans les systèmes de sécurité de Google, Google a introduit Google Play Protect pour s'assurer que cela est réduit. Cependant, les logiciels malveillants continuaient de contourner les mécanismes de sécurité. Google s'appuie désormais sur des chercheurs en sécurité pour les aider avec le programme Google Play Security Rewards.

Le programme Google Play Security Rewards est lancé en collaboration avec HackerOne, une plateforme de primes de bogues. L'objectif du programme est d'inciter la recherche de sécurité vers les applications Android populaires sur le Google Play Store, ce qui contribuera à garantir la protection des utilisateurs.

Google a noté que d'autres programmes similaires basés sur des primes ont eu beaucoup de succès dans le passé. À l'heure actuelle, la portée de ce programme est limitée aux vulnérabilités basées sur l'exécution à distance (attaques RCE) sur Android 4.4 ou supérieur. Les attaques RCE sont ces attaques où un logiciel malveillant peut exécuter un code sur un appareil sans l'autorisation de l'utilisateur.

HackerOne explique le fonctionnement de ce programme :

• Le processus commence par le chercheur en sécurité (hacker) identifiant une vulnérabilité dans une application sur le Google Play Store.
• Le pirate doit signaler cette vulnérabilité directement au développeur de l'application via le processus de divulgation des vulnérabilités.
• Le pirate collabore ensuite avec le développeur de l'application pour l'aider à corriger la vulnérabilité de son application.
• Suite à la résolution de la vulnérabilité, le pirate peut désormais demander une récompense au programme Google Play Security Rewards.
• L'équipe de sécurité Android récompense le pirate.

Source :  HackerOne