Google оголошує про нову програму винагороди за помилки програмного забезпечення з відкритим кодом

Опубліковано: Серпень 31, 2022

Google оголошений у вівторок, що він буде платити дослідникам безпеки за пошук та звіт про помилки в останніх версіях програмного забезпечення з відкритим кодом (Google OSS), випущеного Google.

Технічний гігант нещодавно запущений Програма винагороди за вразливість (VRP) головним чином зосереджується на налаштуваннях програмного забезпечення та сховища Google (включно з діями GitHub, конфігураціями додатків і правилами контролю доступу).

Ця програма застосовується до програмного забезпечення, доступного в загальнодоступних репозиторіях організацій GitHub, що належать Google, а також у деяких репозиторіях з інших платформ.

Уразливості безпеки в сторонніх залежностях Google OSS також знаходяться в центрі уваги цієї програми, за умови, що звіти про помилки спочатку надсилаються власникам вразливих пакетів. Таким чином, проблеми вирішуються ще до інформування Google про результати.

«Найвищі нагороди отримають уразливості, виявлені в найбільш чутливих проектах: Bazel, Angular, Golang, Protocol buffers і Fuchsia», — йдеться у заяві Google у вівторок.

Google OSS VRP приділяє найбільшу увагу недолікам безпеки, які мали б найбільший вплив на ланцюг постачання програмного забезпечення.

У результаті компанія заохочує мисливців за головами за помилками зосередитися на вразливостях, які можуть призвести до компрометації ланцюга постачання, проблемах дизайну, що спричиняють уразливості продукту, і проблемах безпеки. Ці проблеми можуть включати витік облікових даних для входу, слабкі паролі або незахищені установки.

Залежно від рівня серйозності вразливості та важливості проекту кінцева винагорода коливається від 100 до 31,337 XNUMX доларів США.

«Перш ніж почати, будь ласка, ознайомтеся з правилами програми, щоб дізнатися більше про позапланові проекти та вразливості, а потім почніть хакерство та повідомте нам, що ви знайшли. Якщо ваше повідомлення є особливо незвичайним, ми зв’яжемося з вами безпосередньо для сортування та відповіді», – йдеться у заяві Google.

«Крім винагороди, ви можете отримати суспільне визнання за свій внесок. Ви також можете пожертвувати свою винагороду на благодійність у подвійному розмірі від початкової суми», – додав технологічний гігант.