Google Mengumumkan Program Bug Bounty Perangkat Lunak Sumber Terbuka Baru

Diterbitkan: 31 Agustus 2022

Google mengumumkan pada hari Selasa bahwa mereka akan membayar peneliti keamanan untuk menemukan dan melaporkan bug dalam versi terbaru perangkat lunak sumber terbuka (Google OSS) yang dirilis Google.

Raksasa teknologi baru saja diluncurkan Program Hadiah Kerentanan (VRP) terutama berfokus pada perangkat lunak Google dan pengaturan repositori (termasuk tindakan GitHub, konfigurasi aplikasi, dan aturan kontrol akses).

Program ini berlaku untuk perangkat lunak yang tersedia di repositori publik organisasi GitHub milik Google bersama dengan beberapa repositori dari platform lain.

Kerentanan keamanan di dependensi pihak ketiga Google OSS juga menjadi fokus untuk program ini, dengan syarat bahwa laporan bug dikirim ke pemilik paket rentan terlebih dahulu. Dengan cara ini, masalah sudah diatasi sebelum memberi tahu Google tentang temuan tersebut.

“Penghargaan teratas akan diberikan kepada kerentanan yang ditemukan di proyek paling sensitif: Bazel, Angular, Golang, Protocol buffer, dan Fuchsia,” kata Google dalam pernyataannya, Selasa.

OSS VRP Google menempatkan sebagian besar penekanannya pada kelemahan keamanan yang akan memiliki dampak paling signifikan pada rantai pasokan perangkat lunak.

Akibatnya, perusahaan mendorong pemburu hadiah bug untuk fokus pada kerentanan yang dapat menyebabkan kompromi rantai pasokan, masalah desain yang menyebabkan kerentanan produk, dan masalah keamanan. Masalah ini dapat mencakup kredensial login yang bocor, kata sandi yang lemah, atau instalasi yang tidak aman.

Bergantung pada tingkat keparahan kerentanan dan kepentingan proyek, hadiah akhir berkisar antara $100 hingga $31,337 secara total.

“Sebelum Anda mulai, silakan lihat aturan program untuk informasi lebih lanjut tentang proyek dan kerentanan di luar cakupan, lalu dapatkan peretasan dan beri tahu kami apa yang Anda temukan. Jika kiriman Anda sangat tidak biasa, kami akan menghubungi dan bekerja sama dengan Anda secara langsung untuk triase dan tanggapan,” kata Google dalam pernyataannya.

“Selain hadiah, Anda dapat menerima pengakuan publik atas kontribusi Anda. Anda juga dapat memilih untuk menyumbangkan hadiah Anda untuk amal dengan jumlah dua kali lipat dari jumlah aslinya, ”tambah raksasa teknologi itu.