Две оплаты за одну уязвимость

С распространением гаджетов, которые обеспечивают постоянный доступ к куче разных приложений, также регулярно увеличивается количество и уровень угроз, связанных с кибербезопасности. Так мы ежедневно доверяем огромные пласты своей персональной информации разнообразным приложениям, которые знают о нас уже практически все.

А учитывая, что не только количество приложений, но и охват по числу пользователей растут с каждым днем, очень важно принимать эффективные меры по поиску уязвимостей и багов, который могут поставить безопасность данных под угрозу. И намного лучше, если об уязвимости становится известно не в результате уже случившейся массовой утечки информации или курсирующего по глобальной сети вируса, но с помощью превентивных мер.

Не удивительно, что крупные компании уже давно перешли к политике, когда они готовы платить довольно крупные суммы умельцам, способным найти лазейки в их приложениях или системах безопасности. Однако Google решила пойти в этом вопросе немного дальше.

Так технологический гигант решил запустить на базе платформы HackerOne новое приложение, которое позволяет оплачивать труд людей, занимающихся поиском уязвимостей. Программа получила название Google Play Security Reward. При этом тот факт, что компания платит серьезные денежные вознаграждения тем людям, которые находят баги в ее продукции, - это далеко не новость.

Но в этом раз Google решила раскошелиться и на оплату найденных уязвимостей в продуктах других разработчиков. Да, сумма при таких требованиях поменьше, однако, как уверяют эксперты, и найти подобные уязвимости намного проще.

На данный момент в список риска попали тринадцать программ, 5 из которых, кстати, напрямую связаны с Mail.Ru из России. Так туда включены приложения от компаний Alibaba, Dropbox, Duolingo, Headspace, Line, собственно, Mail.Ru, а также Snapchat и Tinder. При этом сама Google советует регулярно обновлять информацию о списке программ, так как он будет систематически пополняться.

Процедура работает следующим образом: когда информатор передает службе поддержки сведения о найденном баге и этот баг исправляют, то у нашедшего уязвимость есть девяносто дней на то, чтобы подать заявление на получение оплаты через Google Security Pay Reward.

При этом новая программа оплаты не исключает и не заменяет те условия, которые предлагают сами разработчики приложений из приведенного списка, но действует как дополнительная. Так умелый хакер может, например, получить семь тыс. долларов от Mail.Ru за найденный баг в Вконтакте, после чего подать заявку и получить еще 1000$, но уже от Google.

В то же время набор платных уязвимостей пока ограничен. Так, например, оплачиваются те из них, которые способны либо осуществлять вмешательство в процесс осуществления транзакций, либо позволить злоумышленникам полностью контролировать приложение, однако не оплачиваются те баги, которые требуют для реализации каких-то сторонних программ.