Google: Αυξάνει τις ανταμοιβές μετρητών για τα Android security bugs

Για την επέτειο του ενός έτους του Android Security Rewards Program, η Google ανακοίνωσε ότι θα αυξήσει τις ανταμοιβές μετρητών μιας και κανείς δεν ήταν σε θέση να σπάσει το TrustZone του Android ή το Verified Boot με ένα remote exploit. Η Google λέει ότι έλαβε και ενέκρινε πάνω από 250 έγκυρες ανταμοιβές..Για την επέτειο του ενός έτους του Android Security Rewards Program, η Google ανακοίνωσε ότι θα αυξήσει τις ανταμοιβές μετρητών μιας και κανείς δεν ήταν σε θέση να σπάσει το TrustZone του Android ή το Verified Boot με ένα remote exploit.

Η Google λέει ότι έλαβε και ενέκρινε πάνω από 250 έγκυρες ανταμοιβές για ευπάθειες κατά το παρελθόν, αλλά, δυστυχώς, πάνω από το ένα τέταρτο αυτών βρισκόταν σε κώδικα τρίτων κατασκευαστών, όπως τα σφάλματα του πυρήνα και των drivers της συσκευής.

Η εταιρεία είπε ότι πλήρωσε πάνω από 550.000 δολ. σε 82 ερευνητές ασφαλείας, πράγμα που σημαίνει ότι ο μέσος όρος πληρωμής για τα σφάλματα ανέρχεται στα 2.200 δολ. ανά σφάλμα ή 6.700 δολ. ανά ερευνητή.

Μερικοί ερευνητές ήταν πιο απασχολημένοι από άλλους και η Google δήλωσε ότι ο πιο παραγωγικός κυνηγός bug ήταν ο @heisecode, ο οποίος έλαβε 75.750 δολ. από 26 διαφορετικές εκθέσεις ευπαθειών.

Η Google δεν αποκάλυψε ποιος έλαβε τη μεγαλύτερη αμοιβή για bug, αλλά είπε ότι 15 ερευνητές κέρδισαν περισσότερα από10.000 δολ. από πολλαπλές αναφορές.

Επειδή κανείς δεν ήταν σε θέση να εκτελέσει απομακρυσμένη εκτέλεση κώδικα στον Android πυρήνα που οδηγούσε στο TrustZone ή σε έκθεση του Verified Boot, την πιο σημαντική και πιο καλά προστατευμένη ζώνη του λειτουργικού συστήματος, η Google αποφάσισε να δελεάσει τους ερευνητές να δοκιμάσουν για ακόμη μία φορά να βρουν τη λύση σ’ αυτό το πρόβλημα.

Η εταιρεία είπε ότι θα πληρώσει 50.000 δολ. για μια απομακρυσμένη αλυσίδα exploits ή exploits που οδηγούν σε TrustZone ή σε Verified Boot compromise. Προηγουμένως, η Google ήταν πρόθυμη να πληρώσει 30.000 δολ..

Επιπλέον, η εταιρεία αυξάνει την ανταμοιβή για remote ή proximal kernel exploit από τα 20.000 στα 30.000 δολ..

Η ανταμοιβή για ένα exploit ή μια αλυσίδα από exploits που θα οδηγεί στο TrustZone ή σε έκθεση του Verified Boot μέσω μιας εγκατεστημένης εφαρμογής ή μέσω φυσικής πρόσβασης στη συσκευή παρέμεινε στα 30.000 δολ.

Στην κορυφή αυτών, η Google έχει καταστήσει σαφές ότι οι εκθέσεις ποιότητας ευπαθειών είναι καλοδεχούμενες, αυξάνοντας όλες τις ανταμοιβές κατά 33 τοις εκατό, αν περιλαμβάνουν το proof of concept. Οι ερευνητές θα επωφεληθούν, επίσης, από μια αύξηση 50 τοις εκατό στις ανταμοιβές τους αν, εκτός από το proof of concept, οι εκθέσεις τους περιέχουν και μια σουίτα τεστ συμβατότητας για τις παλαιότερες εκδόσεις του Android.