Google ogłasza nowy program „Bug Bounty Software” Open Source

Opublikowany: 31 sierpnia 2022 r.

Google ogłosił we wtorek zapłaci badaczom bezpieczeństwa za znajdowanie i zgłaszanie błędów w najnowszych wersjach oprogramowania open-source wydanego przez Google (Google OSS).

Nowo uruchomiony gigant technologiczny Program nagradzania za podatność na zagrożenia (VRP) koncentruje się przede wszystkim na ustawieniach oprogramowania i repozytorium Google (w tym działaniach GitHub, konfiguracjach aplikacji i regułach kontroli dostępu).

Ten program dotyczy oprogramowania dostępnego w publicznych repozytoriach należących do Google organizacji GitHub oraz niektórych repozytoriów z innych platform.

Program ten skupia się również na lukach bezpieczeństwa w zewnętrznych zależnościach Google OSS, pod warunkiem, że raporty o błędach są najpierw wysyłane do właścicieli podatnych pakietów. W ten sposób problemy zostały już rozwiązane przed poinformowaniem Google o wynikach.

„Najwyższe nagrody trafią do luk znalezionych w najbardziej wrażliwych projektach: Bazel, Angular, Golang, Protocol buffers i Fuchsia” – poinformował we wtorek Google.

Google OSS VRP kładzie największy nacisk na luki w zabezpieczeniach, które miałyby największy wpływ na łańcuch dostaw oprogramowania.

W rezultacie firma zachęca łowców błędów do skupienia się na lukach, które mogą prowadzić do naruszenia łańcucha dostaw, problemów projektowych powodujących luki w produktach oraz problemów z bezpieczeństwem. Te problemy mogą obejmować wyciekające dane logowania, słabe hasła lub niezabezpieczone instalacje.

W zależności od poziomu ważności luk i wagi projektu ostateczne nagrody wynoszą łącznie od 100 do 31,337 XNUMX USD.

„Zanim zaczniesz, zapoznaj się z zasadami programu, aby uzyskać więcej informacji na temat projektów i luk w zabezpieczeniach, które nie są objęte zakresem, a następnie zhakuj i daj nam znać, co znalazłeś. Jeśli Twoje zgłoszenie jest szczególnie nietypowe, skontaktujemy się z Tobą i bezpośrednio z Tobą skontaktujemy się z Tobą w celu przeprowadzenia selekcji i odpowiedzi” – powiedział Google w swoim oświadczeniu.

„Oprócz nagrody możesz otrzymać publiczne uznanie za swój wkład. Możesz również zdecydować się na przekazanie nagrody na cele charytatywne w wysokości dwukrotnie większej niż pierwotna kwota ”- dodał gigant technologiczny.