Google Security Reward Progams: so war 2014, dies ändert sich 2015

Die Security Reward Programme sind für Google eine elegante und kostengünstige Lösung, wenn es darum geht, Fehler in den eigenen Produkten zu entdecken. Egal wer einen Fehler findet, er wird dafür belohnt. 2014 schüttete Google mehr als 1,5 Millionen Dollar an mehr als 200 verschiedene Sicherheitsforscher aus. Die höchste Prämie war 150.000 Dollar schwer, der Empfänger wurde danach auch direkt Praktikant bei Google. Daran sieht man schon, wie günstig das Programm für Google ist. 200 Menschen in einem Jahr bezahlen, intern würden da keine 1,5 Millionen Dollar ausreichen. Diese Personen fanden über 500 Fehler, die auch von Google honoriert wurden.

2015 ändert sich ein bisschen etwas, allerdings zum Vorteil der Sicherheitsforscher. Google möchte diese motivieren, auch nach Fehlern zu suchen, wenn es vermeintlich keine Fehler gibt, beziehungsweise diese so schwer zu entdecken sind, dass es sich nicht „lohnt“ danach zu suchen. Deshalb wird Google mit Aufgabenstellungen arbeiten und bereits vorab einen finanziellen Anreiz schaffen. Für die Suche nach Lücken, die Google in bestimmten Bereichen sehen will, kann man sich dann bewerben. Wird man mit der Suche beauftragt, gibt es vorab einen Betrag von bis zu 3.133,70 Dollar, ohne dass dabei auch ein Bug entdeckt werden muss. Wird dennoch einer gefunden, greifen die üblichen Prämien, der Entdecker wird also in diesem Fall doppelt belohnt. Weitere Informationen zu den Vulnerability Search Grants gibt es bei Google.

Zusätzlich wird das Reward-Programm auch erweitert. Es umfasst jetzt nicht mehr nur die Google Web-Produkte, sondern auch die mobilen Apps von Google, die im Play Store und bei iTunes zu finden sind. Diese sind jetzt Bestandteil des Security Reward Programs, entsprechend sind auch die Rewards für gefundene Bugs gestaffelt. Sicher ein guter Weg, gerade für Google mit seinen unzähligen Nutzern, um Apps und Dienste schneller sicherer zu machen, ohne eine eigene Armee an Bug-Findern engagieren zu müssen.

(Quelle: Google Online Security Blog)