Google heeft dinsdag een nieuw uitbreiding van haar veiligheidsprogramma aangekondigd: het Open Source Software Vulnerability Rewards Program. Ontwikkelaars en ethische hackers kunnen een zakcentje bijverdienen als ze kwetsbaarheden vinden in Googles open source-softwareprogramma’s en deze melden. De beloning kan oplopen tot maximaal 31.337 dollar.
Google presenteert het Open Source Software Vulnerability Rewards Program (OSS VRP) via haar weblog.
Dit moet je weten over bug bounty-programma’s
OSS VRP is simpel gezegd een bug bounty-programma. Wie een lek, exploit of andere kwetsbaarheid vindt in een computerprogramma of applicatie en dit doorgeeft aan de ontwikkelaar, kan hiermee aanspraak maken op een geldbedrag.
De hoogte van deze beloning hangt in sterke mate samen met de ernst van de kwetsbaarheid: des te gevaarlijker het lek, des te hoger de beloning. Er zijn voorbeelden van ethische hackers en beveiligingsonderzoekers die tienduizenden dollars op hun bankrekening hebben mogen bijschrijven. Het is tevens een manier voor ontwikkelaars en hackers om hun vaardigheden aan de buitenwereld te tonen.
Vrijwel alle grote technologiebedrijven hebben een bug bounty-programma, of iets dat daar op lijkt. Denk aan Apple, Microsoft, Meta, Intel, Twitter, Samsung en Mozilla.
Beloning kan oplopen tot ruim 31.000 dollar
Ook Google heeft sinds dinsdag een bug bounty-programma voor haar open source-projecten. Dan moet je denken aan programmeertalen als Golang en Angular, of het alternatieve besturingssysteem Fuchsia. “Met de toevoeging van Googles OSS VRP aan onze familie van Vulnerability Reward Programs, kunnen onderzoekers nu worden beloond voor het vinden van bugs die mogelijk gevolgen kunnen hebben voor het hele open source ecosysteem”, zo schrijft Google.
Google is bereid om de portemonnee te trekken. De zoekmachinegigant is bereid om ontwikkelaars en ethische hackers te belonen tot maximaal 31.337 dollar. De hoogste beloning wordt alleen uitgereikt aan mensen die kwetsbaarheden vinden in de meest gevoelige projecten. Als voorbeeld noemt Google Bazel, Angular, Golang, Fuchsia en Protocol Buffers. Google heeft plannen om deze lijst in de toekomst verder uit te breiden.
Kwetsbaarheden waardoor de keten van toeleveranciers (supply chain) in gevaar komt, leveren het meest op. Wie een kwetsbaarheid ontdekt in een Google-product, krijgt ten hoogste 7.500 dollar van het techbedrijf. Voor andere, lichtere kwetsbaarheden is het mogelijk om maximaal 1.000 dollar op te strijken.
Google keerde tot nu toe 38 miljoen dollar uit
Google nodigt iedereen uit om aan het hacken te slaan, maar adviseert wel om eerst de spelregels te lezen. Zo kunnen deelnemers ervoor kiezen om het geld zelf te houden, maar ook om dit te doneren aan het goede doel. In dat geval verdubbelt Google het oorspronkelijke bedrag. Wie daar behoefte aan heeft krijgt publiekelijke erkenning van Google voor de ontdekking.
Het oorspronkelijke VRP-programma werd 12 jaar geleden in het leven geroepen om de Google-producten veiliger te maken. In de loop der jaren zijn gebieden als Chrome en Android aan het veiligheidsprogramma toegevoegd. Sinds de lancering heeft Google ruim 38 miljoen dollar uitgekeerd aan meer dan 13.000 inzendingen uit 84 landen.
“De gemeenschap heeft ons voortdurend verrast met haar creativiteit en vastberadenheid, en we kunnen niet wachten om te zien welke nieuwe bugs en ontdekkingen jullie in petto hebben”, aldus Google. Het bedrijf hoopt samen met de community de veiligheid van het open source-ecosysteem te verbeteren. Het OSS VRP-programma van Google maakt deel uit van het initiatief om 10 miljard dollar te investeren in de verbetering van cybersecurity.
