Google annuncia il nuovo programma Open Source Bug Bounty

Pubblicato il: 31 Agosto 2022

Google ha annunciato martedì che pagherà i ricercatori di sicurezza per trovare e segnalare bug nelle ultime versioni del software open source rilasciato da Google (Google OSS).

Il gigante della tecnologia è stato lanciato di recente Programma di ricompensa vulnerabilità (VRP) si concentra principalmente sulle impostazioni del software e del repository di Google (incluse le azioni GitHub, le configurazioni delle applicazioni e le regole di controllo degli accessi).

Questo programma si applica al software disponibile su repository pubblici di organizzazioni GitHub di proprietà di Google insieme ad alcuni repository di altre piattaforme.

Anche le vulnerabilità di sicurezza nelle dipendenze di terze parti di Google OSS sono al centro di questo programma, a condizione che le segnalazioni di bug vengano inviate prima ai proprietari dei pacchetti vulnerabili. In questo modo, i problemi sono già stati affrontati prima di informare Google dei risultati.

"I migliori premi andranno alle vulnerabilità trovate nei progetti più sensibili: Bazel, Angular, Golang, Protocol buffers e Fuchsia", ha affermato Google nella sua dichiarazione martedì.

OSS VRP di Google pone la maggior parte della sua enfasi sui difetti di sicurezza che avrebbero l'impatto più significativo sulla catena di fornitura del software.

Di conseguenza, l'azienda incoraggia i cacciatori di taglie di bug a concentrarsi sulle vulnerabilità che potrebbero portare a compromissione della catena di approvvigionamento, problemi di progettazione che causano vulnerabilità del prodotto e problemi di sicurezza. Questi problemi potrebbero includere credenziali di accesso trapelate, password deboli o installazioni non sicure.

A seconda del livello di gravità delle vulnerabilità e dell'importanza del progetto, i premi finali vanno da $ 100 a $ 31,337 in totale.

"Prima di iniziare, consulta le regole del programma per ulteriori informazioni su progetti e vulnerabilità fuori campo, quindi inizia a fare hacking e facci sapere cosa trovi. Se la tua richiesta è particolarmente insolita, ti contatteremo e lavoreremo direttamente con te per il triage e la risposta", ha affermato Google nella sua dichiarazione.

“Oltre a una ricompensa, puoi ricevere un riconoscimento pubblico per il tuo contributo. Puoi anche scegliere di donare la tua ricompensa in beneficenza al doppio dell'importo originale", ha aggiunto il gigante della tecnologia.