Security: Google startet Bounty-Programm für Android
Google will künftig für das Entdecken von Sicherheitslücken in Android zahlen(öffnet im neuen Fenster) . Dazu erweitert der Android-Hersteller sein Bounty-Programm auf das mobile Betriebssystem. Bisher belohnt Google das Aufdecken von Sicherheitslücken im Browser Chrome(öffnet im neuen Fenster) und in seiner Linux-Distribution Chrome OS. Allerdings gibt es Einschränkungen: So darf nur auf den aktuellen Nexus-Geräten nach Schwachstellen gefahndet werden.
Auf den aktuellen Nexus 6 und Nexus 9 können Entwickler im Code des AOSP (Android Open Source Project) und im OEM-Code, der in Bibliotheken und Treibern eingesetzt wird, nach Schwächen suchen. Auch entdeckte Fehler in Androids Linux-Kernel und im Trustzone OS samt Modulen fallen unter das Bounty-Programm. Ausgenommen sind bislang der Nexus Player, Android Wear oder das Projekt Tango.
Gestaffelte Preisgelder
Je schwerwiegender der Fehler(öffnet im neuen Fenster) , desto höher fällt die Belohnung aus. Wer gleich einen Test für Androids Compatibility Test Suite und einen funktionierenden und getesteten Patch mitliefert, erhält zusätzlich Geld. So wird das Auffinden eines als kritisch eingestuften Bugs mit 2.000 US-Dollar belohnt, wer zusätzlich Test und Patch einreicht, erhält 8.000 US-Dollar.
Auch entwickelte Exploits fallen unter das Bounty-Programm. Wer aus der Ferne den Android-Kernel kompromittieren kann, wird mit 20.000 US-Dollar entlohnt. Allerdings gelten auch hier Einschränkungen: Ausgenommen sind Angriffe, die komplexe Benutzereingaben erfordern, etwa Veränderungen der Konfiguration. Ebenso wenig berücksichtigt werden Angriffe, die eine Veränderung der Benutzeroberfläche voraussetzen sowie Phishing-Angriffe oder Angriffe über die Android Debug Bridge (ADB).
Verantwortungsvolle Veröffentlichungen
Gefundene Schwachstellen müssen über den öffentlichen Bug Tracker des Android Open-Source-Projekts eingereicht werden(öffnet im neuen Fenster) . Google weist zudem darauf hin, dass entdeckte Fehler nicht zuvor publik gemacht worden sein dürfen und appelliert an die Entwickler, sich an seine Richtlinien zur verantwortungsvollen Veröffentlichung(öffnet im neuen Fenster) (Responsible Disclosure) von Schwachstellen zu halten. Sind die Fehler repariert, dürfen und sollen deren Entdecker öffentlich darüber berichten.
Google hat letztes Jahr insgesamt 1,5 Millionen US-Dollar an externe Entwickler ausgezahlt, die Bugs in Chrome oder anderen Produkten entdeckt haben. Kürzlich hatte Google erstmals einen Bericht zur Sicherheit von Android veröffentlicht und darin seine Maßnahmen zur Absicherung des mobilen Betriebssystems detailliert beschrieben . Durch sein Bug-Bounty-Programm will Google externen Entwicklern einen Anreiz geben, an der Absicherung von Android mitzuarbeiten und zudem verhindern, dass Informationen über kritische Schwachstellen an mögliche Kriminelle verkauft werden.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.