Security: Google startet Bounty-Programm für Android

Wer in Android eine Schwachstelle findet, wird von Google entlohnt. Der Suchmaschinenanbieter erweitert sein Bounty-Programm auf das mobile Betriebssystem - allerdings mit einigen Einschränkungen.

Artikel veröffentlicht am ,
Für Android hat Google ein Bug-Bounty-Programm gestartet.
Für Android hat Google ein Bug-Bounty-Programm gestartet. (Bild: Impish/CC BY 3.0)

Google will künftig für das Entdecken von Sicherheitslücken in Android zahlen. Dazu erweitert der Android-Hersteller sein Bounty-Programm auf das mobile Betriebssystem. Bisher belohnt Google das Aufdecken von Sicherheitslücken im Browser Chrome und in seiner Linux-Distribution Chrome OS. Allerdings gibt es Einschränkungen: So darf nur auf den aktuellen Nexus-Geräten nach Schwachstellen gefahndet werden.

Auf den aktuellen Nexus 6 und Nexus 9 können Entwickler im Code des AOSP (Android Open Source Project) und im OEM-Code, der in Bibliotheken und Treibern eingesetzt wird, nach Schwächen suchen. Auch entdeckte Fehler in Androids Linux-Kernel und im Trustzone OS samt Modulen fallen unter das Bounty-Programm. Ausgenommen sind bislang der Nexus Player, Android Wear oder das Projekt Tango.

Gestaffelte Preisgelder

Je schwerwiegender der Fehler, desto höher fällt die Belohnung aus. Wer gleich einen Test für Androids Compatibility Test Suite und einen funktionierenden und getesteten Patch mitliefert, erhält zusätzlich Geld. So wird das Auffinden eines als kritisch eingestuften Bugs mit 2.000 US-Dollar belohnt, wer zusätzlich Test und Patch einreicht, erhält 8.000 US-Dollar.

Auch entwickelte Exploits fallen unter das Bounty-Programm. Wer aus der Ferne den Android-Kernel kompromittieren kann, wird mit 20.000 US-Dollar entlohnt. Allerdings gelten auch hier Einschränkungen: Ausgenommen sind Angriffe, die komplexe Benutzereingaben erfordern, etwa Veränderungen der Konfiguration. Ebenso wenig berücksichtigt werden Angriffe, die eine Veränderung der Benutzeroberfläche voraussetzen sowie Phishing-Angriffe oder Angriffe über die Android Debug Bridge (ADB).

Verantwortungsvolle Veröffentlichungen

Gefundene Schwachstellen müssen über den öffentlichen Bug Tracker des Android Open-Source-Projekts eingereicht werden. Google weist zudem darauf hin, dass entdeckte Fehler nicht zuvor publik gemacht worden sein dürfen und appelliert an die Entwickler, sich an seine Richtlinien zur verantwortungsvollen Veröffentlichung (Responsible Disclosure) von Schwachstellen zu halten. Sind die Fehler repariert, dürfen und sollen deren Entdecker öffentlich darüber berichten.

Google hat letztes Jahr insgesamt 1,5 Millionen US-Dollar an externe Entwickler ausgezahlt, die Bugs in Chrome oder anderen Produkten entdeckt haben. Kürzlich hatte Google erstmals einen Bericht zur Sicherheit von Android veröffentlicht und darin seine Maßnahmen zur Absicherung des mobilen Betriebssystems detailliert beschrieben. Durch sein Bug-Bounty-Programm will Google externen Entwicklern einen Anreiz geben, an der Absicherung von Android mitzuarbeiten und zudem verhindern, dass Informationen über kritische Schwachstellen an mögliche Kriminelle verkauft werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
OpenAI
Girlfriend-Chatbots verstoßen gegen die Regeln des GPT-Store

Nur einen Tag, nachdem OpenAI ChatGPT für Entwickler geöffnet hat, lassen sich Angebote finden, die es nicht geben dürfte.

OpenAI: Girlfriend-Chatbots verstoßen gegen die Regeln des GPT-Store
Artikel
  1. Windows 11: Microsoft testet Copilot im Autostart
    Windows 11
    Microsoft testet Copilot im Autostart

    Die KI-App könnte künftig automatisch starten, wenn Windows 11 lädt. Standardmäßig ist das Feature aktiviert, kann aber abgewählt werden.

  2. Fast 20 Funktionen fallen weg: Google macht den Google Assistant dümmer
    Fast 20 Funktionen fallen weg
    Google macht den Google Assistant dümmer

    Alles rund um Google Assistant und smarte Lautsprecher wird schlechter gemacht: Noch in diesem Monat werden fast 20 Funktionen gestrichen.
    Ein Bericht von Ingo Pakalski

  3. Astronomie: Die Lavalandschaft eines doppelgesichtigen Exoplaneten
    Astronomie
    Die Lavalandschaft eines doppelgesichtigen Exoplaneten

    Auf der einen Seite eine Lavawelt, auf der anderen tiefe Finsternis - so soll ein kürzlich entdeckter Exoplanet aussehen. Zudem ist HD 63433 d relativ jung - im Vergleich zur Erde.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    • Daily Deals • Lenovo 34" 21:9 Curved WQHD 299€ • ASRock RX 7900 XTX 1.039,18€ • War Hospital 21,59€ • Amazon-Geräte -50% • Acer 34" OLED UWQHD 175Hz 999€ • PS5 + Spider-Man 2 569€ • AMD Ryzen 9 5950X 379€ • Switch-Controller 17,84€ • AOC 27" QHD 165Hz 229€ • 3 Spiele für 49€ [Werbung]
    •  /