Google Bug-Bounty-Programm für Open-Source

Google hat am Dienstag angekündigt, dass es ein neues Bug-Bounty-Programm startet, das sich speziell auf Open-Source-Software konzentriert. Mit dem neuen Open Source Software Vulnerability Rewards Program (OSS VRP) können Bugjäger je nach Schweregrad der gefundenen Schwachstelle zwischen 100 und 31.000 Dollar verdienen.

Das neue Programm befasst sich mit einem großen Problem in der Software-Gemeinschaft: der Zunahme von Sicherheitslücken in der Lieferkette. Unter Berufung auf einen Bericht des Softwareunternehmens Sonatype stellt Google fest, dass Angriffe auf die Open-Source-Lieferkette im Jahr 2021 im Vergleich zum Vorjahr um 650 % zugenommen haben. Selbst einzelne Schwachstellen wie die im Dezember 2021 entdeckte schwerwiegende Log4j-Schwachstelle können großen Schaden anrichten.

Das neue Programm von Google ermutigt Fehlerjäger, nach Problemen in aktuellen Versionen von Open-Source-Software (einschließlich Repository-Einstellungen) zu suchen, die in den öffentlichen Repositories der Google-eigenen GitHub-Organisationen (wie Google, GoogleAPIs und GoogleCloudPlatform) gespeichert sind. Der Schwerpunkt liegt auch auf den Abhängigkeiten dieser Projekte von Drittanbietern.

Die höchsten Auszeichnungen werden für Schwachstellen vergeben, die in den sensibelsten Projekten gefunden wurden, die Google unterhält, darunter Bazel, Angular, Golang, Protocol buffers und Fuchsia. Google ermutigt die Fehlerjäger auch, nach Problemen zu suchen, die die größten Auswirkungen auf die Lieferkette haben könnten, z. B. Designprobleme, die zu Produktschwachstellen führen, oder Sicherheitsprobleme wie durchgesickerte Anmeldedaten.

Die Belohnungen reichen von 100 bis 31.337 Dollar, je nach Schwere der Schwachstelle und der Bedeutung des Projekts. „Die höheren Beträge werden auch für ungewöhnliche oder besonders interessante Schwachstellen vergeben, so dass Kreativität gefragt ist“, fügte Google in seinem Blogbeitrag hinzu.

Google gibt folgende rechtliche Hinweise: „Dies ist kein Wettbewerb, sondern ein experimentelles und diskretionäres Prämienprogramm. Sie sollten sich darüber im Klaren sein, dass wir das Programm jederzeit beenden können und die Entscheidung, ob eine Prämie ausgezahlt wird oder nicht, allein in unserem Ermessen liegt.

Ihre Tests dürfen nicht gegen Gesetze verstoßen oder Daten stören oder gefährden, die nicht Ihre eigenen sind. Um mögliche Interessenkonflikte zu vermeiden, werden wir keine Prämien an Personen vergeben, die bei Google oder Google-Partnerunternehmen beschäftigt sind und Software entwickeln, die unter dieses Programm fällt.“