Google programas de recompensa por identificar vulnerabilidades nos seus produtos, aplicacións de Android e varios programas de código aberto. O importe total das recompensas pagadas en 2019 foi de 6.5 millóns de dólares, dos cales 2.1 millóns de dólares foron pagados por vulnerabilidades nos servizos de Google, 1.9 millóns de dólares en Android, 1 millón de dólares en Chrome e 800 mil dólares en aplicacións de Google Play (o resto destináronse a doazóns). A modo de comparación, en 2018 pagáronse un total de 3.4 millóns de dólares e en 2015, 2 millóns. Durante 9 anos, o importe total dos pagos ascendeu a 21 millóns de dólares.
461 investigadores recibiron premios. O maior pago de 201 mil dólares o investigador Guang Gong, que identificou unha vulnerabilidade que permite a execución remota de código no dispositivo Pixel 3 (recibíronse 161 mil dólares por vulnerabilidades en Android e 40 mil por vulnerabilidades en Chrome).
En 2019 Google foi un premio por identificar vulnerabilidades en aplicacións populares de Android e o custo da información sobre unha vulnerabilidade explotada remotamente nas aplicacións de Google Android aumentou de 5 a 20 mil dólares, a fuga de datos e o acceso a compoñentes protexidos de 1000 a 3000 dólares. A recompensa por unha explotación para comprometer completamente un Chromebook ou Chromebox desde o modo de acceso para convidados aumentou a 150 $.
O pago máximo para crear un exploit para escapar do entorno sandbox de Chrome aumentou de 15 a 30 mil dólares, para un método de evitar o control de acceso en JavaScript (XSS) de 7.5 a 20 mil dólares, para organizar a execución remota de código na representación. nivel do sistema de 7.5 a 10 mil 4 mil dólares, para identificar fugas de información - de 5 a 20-7500 mil dólares. Introducíronse pagos por métodos de suplantación de identidade na interface de usuario ($5000), aumento de privilexios na plataforma web ($5000) e evitando a protección contra a explotación de vulnerabilidades ($1000). Duplicáronse os pagos por preparar unha descrición básica e de alta calidade dunha vulnerabilidade sen demostrar unha explotación. O pago adicional para identificar unha vulnerabilidade mediante Chrome Fuzzer aumentou a XNUMX $.
Fonte: opennet.ru