Η Google ανακοινώνει το νέο πρόγραμμα Open-Source Bug Bounty Software

Δημοσιεύθηκε στις: Αύγουστος 31, 2022

Google ανακοίνωσε την Τρίτη ότι θα πληρώσει τους ερευνητές ασφαλείας για να βρουν και να αναφέρουν σφάλματα στις πιο πρόσφατες εκδόσεις του λογισμικού ανοιχτού κώδικα που κυκλοφόρησε η Google (Google OSS).

Ο τεχνολογικός γίγαντας κυκλοφόρησε πρόσφατα Πρόγραμμα επιβράβευσης ευπάθειας (VRP) επικεντρώνεται κυρίως στο λογισμικό Google και τις ρυθμίσεις αποθετηρίου (συμπεριλαμβανομένων των ενεργειών GitHub, των διαμορφώσεων εφαρμογών και των κανόνων ελέγχου πρόσβασης).

Αυτό το πρόγραμμα ισχύει για λογισμικό διαθέσιμο σε δημόσια αποθετήρια οργανισμών GitHub που ανήκουν στην Google μαζί με ορισμένα αποθετήρια από άλλες πλατφόρμες.

Τα τρωτά σημεία ασφαλείας στις εξαρτήσεις τρίτων του Google OSS βρίσκονται επίσης στο επίκεντρο αυτού του προγράμματος, υπό την προϋπόθεση ότι οι αναφορές σφαλμάτων αποστέλλονται πρώτα στους κατόχους των ευάλωτων πακέτων. Με αυτόν τον τρόπο, τα ζητήματα αντιμετωπίζονται ήδη πριν ενημερώσετε την Google για τα ευρήματα.

«Τα κορυφαία βραβεία θα δοθούν σε ευπάθειες που βρίσκονται στα πιο ευαίσθητα έργα: Bazel, Angular, Golang, Protocol buffers και Fuchsia», ανέφερε η Google σε ανακοίνωσή της την Τρίτη.

Το OSS VRP της Google δίνει το μεγαλύτερο μέρος της έμφασης στα ελαττώματα ασφαλείας που θα είχαν τον πιο σημαντικό αντίκτυπο στην αλυσίδα εφοδιασμού λογισμικού.

Ως αποτέλεσμα, η εταιρεία ενθαρρύνει τους κυνηγούς επικηρυγμένων σφαλμάτων να επικεντρωθούν σε ευπάθειες που θα μπορούσαν να οδηγήσουν σε συμβιβασμό της εφοδιαστικής αλυσίδας, προβλήματα σχεδιασμού που προκαλούν ευπάθειες προϊόντων και ζητήματα ασφάλειας. Αυτά τα ζητήματα μπορεί να περιλαμβάνουν διαπιστευτήρια σύνδεσης που διέρρευσαν, αδύναμους κωδικούς πρόσβασης ή μη ασφαλείς εγκαταστάσεις.

Ανάλογα με το επίπεδο σοβαρότητας των τρωτών σημείων και τη σημασία του έργου, οι τελικές ανταμοιβές κυμαίνονται από $100 έως $31,337 συνολικά.

«Πριν ξεκινήσετε, ανατρέξτε στους κανόνες του προγράμματος για περισσότερες πληροφορίες σχετικά με έργα εκτός πεδίου εφαρμογής και ευπάθειες και, στη συνέχεια, λάβετε hacking και ενημερώστε μας τι βρίσκετε. Εάν η υποβολή σας είναι ιδιαίτερα ασυνήθιστη, θα επικοινωνήσουμε μαζί σας και θα συνεργαστούμε απευθείας για τον έλεγχο και την απόκριση», ανέφερε η Google στη δήλωσή της.

«Εκτός από μια ανταμοιβή, μπορείτε να λάβετε δημόσια αναγνώριση για τη συνεισφορά σας. Μπορείτε επίσης να επιλέξετε να δωρίσετε την ανταμοιβή σας σε φιλανθρωπικούς σκοπούς με το διπλάσιο του αρχικού ποσού», πρόσθεσε ο τεχνολογικός γίγαντας.