Google Chrome zapłaci ci nawet 78 tys. zł. Wystarczy znaleźć jego błąd

Google ponownie zmienia zasady programu Vulnerability Rewards Program (VRP), w ramach którego badacze bezpieczeństwa otrzymują pieniądze za zgłaszanie luk w przeglądarce Chrome. Firma podniosła część stawek, wprowadziła nowe kategorie nagród i przywróciła premię za tworzenie narzędzi wykrywających podatności. W niektórych przypadkach można otrzymać nawet 20 tysięcy dolarów.

Wykrycie luki i otrzymanie za to nagrody to wyjątkowy moment dla badacza, który pracował nad odszukaniem podatności często dość długi czas. Google zmieniło nieco zasady przyznawania nagród za wykrycie luk w Chrome i podniosła stawki. To kolejna zmiana w tym roku. W maju firma obniżyła część nagród za błędy w Chrome, a w lipcu zapowiedziała szersze wykorzystanie sztucznej inteligencji do poprawy bezpieczeństwa przeglądarki.

Więcej pieniędzy za poważne podatności

Tymczasem teraz stawki zostały podniesione, a więcej dostaniemy za wykrycie błędów związanych pamięcią. Podstawowa nagroda za wykrycie podatności typu memory corruption wzrosła czterokrotnie, do 2000 dolarów. Za zgłoszenia luk pozwalających na przejmowanie danych oraz powodujących awarie procesów przeglądarki, GPU lub obsługi sieci Google przewiduje teraz 4000 dolarów.

Google zwiększa wartość nagród przewidzianych za wykrycie luk w przeglądarce Chrome.

Znacznie wyższe wynagrodzenie można otrzymać za podatności pozwalające na zapis danych. W takich przypadkach nagroda może sięgnąć 20 tysięcy dolarów. Firma zwiększyła również maksymalne stawki za błędy zapisu i use-after-free (UAF) w procesie renderowania stron. Badacze mogą otrzymać za nie do 8000 dolarów.

Uproszczono ponadto zasady dotyczące silnika JavaScript V8. Podatności związane z mechanizmem sandbox będą nagradzane kwotą 5000 dolarów, natomiast błędy logiczne V8 wyceniono na 4000 dolarów. Uproszczono ponadto zasady dotyczące silnika JavaScript V8. Podatności będą nagradzane kwotą 5000 dolarów, z kolei błędy logiczne V8 wyceniono na 4000 dolarów.

Google chce nagradzać również mniej poważne błędy

Nowe zasady nie ograniczają się wyłącznie do najgroźniejszych podatności pamięci. Google wprowadza nagrodę w wysokości 2000 dolarów za błędy o średnim poziomie zagrożenia, które nie dotyczą bezpieczeństwa pamięci. Jednocześnie szczególnie istotne podatności z tej kategorii mogą przynieść nawet 20 tysięcy dolarów.

Wraca premia za fuzzing

Google przywraca również Chrome Fuzzer Bonus w wysokości 2000 dolarów. Fuzzing polega na dostarczaniu programowi nietypowych, celowo nieprawidłowych danych wejściowych, aby wykrywać błędy i potencjalne luki bezpieczeństwa. Premia ma zachęcać do tworzenia nowych, wyspecjalizowanych narzędzi testujących Chrome.

Firma zapowiedziała także nagrody przyznawane pod koniec roku, między innymi za największą liczbę odkrytych błędów, najlepszą podatność i najlepiej przygotowany raport.