Google anunță un nou program de recompense pentru erori software open-source

Publicat în data de: August 31, 2022

Google a anunțat marți, va plăti cercetătorii de securitate pentru a găsi și raporta erori în cele mai recente versiuni ale software-ului open source (Google OSS) lansat de Google.

Gigantul tehnologic a fost lansat recent Programul de recompensă pentru vulnerabilități (VRP) se concentrează în primul rând pe software-ul Google și setările de depozit (inclusiv acțiunile GitHub, configurațiile aplicațiilor și regulile de control al accesului).

Acest program se aplică software-ului disponibil în depozitele publice ale organizațiilor GitHub deținute de Google, împreună cu unele depozite de pe alte platforme.

Vulnerabilitățile de securitate din dependențele de la terți Google OSS sunt, de asemenea, în atenție pentru acest program, cu condiția ca rapoartele de erori să fie trimise mai întâi proprietarilor pachetelor vulnerabile. În acest fel, problemele sunt deja abordate înainte de a informa Google despre constatări.

„Premiile de top vor reveni vulnerabilităților găsite în proiectele cele mai sensibile: Bazel, Angular, Golang, Protocol buffers și Fuchsia”, a spus Google în declarația sa de marți.

OSS VRP de la Google pune cel mai mult accent pe defectele de securitate care ar avea cel mai semnificativ impact asupra lanțului de aprovizionare cu software.

Drept urmare, compania încurajează vânătorii de recompense de bug-uri să se concentreze asupra vulnerabilităților care ar putea duce la compromiterea lanțului de aprovizionare, probleme de proiectare care cauzează vulnerabilități ale produselor și probleme de securitate. Aceste probleme ar putea include acreditări de conectare scurse, parole slabe sau instalări nesigure.

În funcție de nivelul de severitate al vulnerabilităților și de importanța proiectului, recompensele finale variază între 100 USD și 31,337 USD în total.

„Înainte de a începe, vă rugăm să consultați regulile programului pentru mai multe informații despre proiectele în afara domeniului de aplicare și vulnerabilități, apoi faceți piratare și spuneți-ne ce găsiți. Dacă trimiterea dvs. este deosebit de neobișnuită, vă vom contacta direct și vom lucra cu dvs. pentru triere și răspuns”, a spus Google în declarația sa.

„Pe lângă o recompensă, poți primi recunoaștere publică pentru contribuția ta. De asemenea, puteți alege să vă donați recompensa unei organizații de caritate cu dublul sumei inițiale”, a adăugat gigantul tehnologic.