Google zahlt Prämien für Lücken in Chrome-Apps

Google hat sein Sicherheitsprämienprogramm „Vulnerability Reward Program“ ausgeweitet. Künftig gilt es auch für Chrome-Apps und Chrome-Erweiterungen, die von Google selbst stammen. Wer eine solche Schwachstelle über goo.gl/vulnz meldet, erhält abhängig vom Schweregrad 500 bis 10.000 Dollar Belohnung.

Google teilt mit, solche Programme und Erweiterungen seien grundsätzlich einfach zu schreiben und daher wohl vergleichsweise fehlerarm, aber auch so beliebt, dass eine gründliche Prüfung sinnvoll erscheint.

Die Höhe der Prämien in Googles zweitem Prämienprogramm „Patch Reward“ wurde parallel erhöht. 500 bis 1337 Dollar gibt es ab sofort für einfache Vorschläge oder das Beheben von Lücken, die eher theoretischer Natur sind. Korrekturen für mittlere Lücken mit überzeugenden Vorteilen für die Sicherheit bringen bis zu 5000 Dollar. Prämien in bisher ungekannter Höhe von bis zu 10.000 Dollar zahlt Google nur für Korrekturen komplexer Fehler, die fast sicher schwerwiegende Folgen nach sich gezogen hätten.

Das „Patch Reward Program“ umfasst derzeit wichtige Open-Source-Projekte wie den Linux-Kernel, OpenSSL, Sendmail und libxml2 sowie mit Chromium und Blink die Open-Source-Grundlagen von Google Chrome. Seit November gehören auch die Webserver Apache httpd, ligttpd und nginx dazu.

Die offiziellen Bedingungen führen aus, dass es sich nicht um einen Wettbewerb, sondern um ein experimentelles Prämienprogramm handelt. Inwieweit Belohnungen ausgezahlt werden, liege daher vollständig im Ermessen von Google.

Microsoft verfolgt mit seinem Programm „Blue Hat Bonus for Defense“ einen ähnlichen Ansatz. Es lobt für Abwehrtechniken, die eine Angriffstechnik zur Umgehung aktueller Schutzsysteme kontern, eine Belohnung von bis zu 50.000 Dollar aus. Bei Google fallen die Prämien zwar deutlich geringer aus, dafür gibt es aber auch mehr Gelegenheiten, sich eine zu sichern.

Die Sicherheit von Chrome-Apps Dritter hatte Google diese Woche schon in den Fokus gerückt, als es eine Rücksetzfunktion für ungewollte Browsererweiterungen verschärfte: Neuerdings fragt Chrome Windows-Nutzer in einem Pop-up-Fenster automatisch, ob sie die Einstellungen zurücksetzen wollen, wenn eine möglicherweise unautorisierte Änderung festgestellt wurde. Mit einem Klick auf die Schaltfläche „Reset“ deaktiviert der Browser alle installierten Erweiterungen, Themen und Chrome-Apps.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.