Google erhöht Prämien für Sicherheitslücken deutlich

Google hat sein Prämienprogramm für Sicherheitslücken aufgestockt. Die Belohnungen, die Sicherheitsforscher erhalten, die Details zu Schwachstellen in Chrome und Chrome OS vertraulich an Google melden, wurden zum Teil verdoppelt oder gar verdreifacht. So steigt die maximale Basisprämie von 5000 auf 15.000 Dollar und der Höchstbetrag für besonders hochwertige Anfälligkeiten und Fehlerberichte von 15.000 auf 30.000 Dollar.

Das Chrome Vulnerability Rewards Program gibt es bereits seit 2010. Seitdem erhielt Google laut Natasha Pabrai und Andrew Whalley vom Chrome Security Team mehr als 8500 Berichte von Sicherheitsforschern. Google schüttete im Gegenzug in der Zeit mehr als fünf Millionen Dollar aus.

Seitdem wurde das Programm laufend erweitert. Dazu gehört das Chrome Fuzzer Program, bei dem sogenannten Fuzzer zum Einsatz kommen, um automatisiert nach Sicherheitslücken zu suchen. Diese Bugs wurden bisher mit je 500 Dollar entlohnt – künftig sind es 1000 Dollar.

Darüber hinaus kündigte Google neue Fehlerkategorien an und überarbeitete die Kriterien für hochwertige Anfälligkeiten. Dabei handelt es sich nun um Fehler, die „leicht, aktiv und zuverlässig gegen unsere Nutzer eingesetzt werden können“. Die zugehörigen Fehlerberichte sollen zudem aufzeigen, dass eine Ausnutzung des Bugs sehr wahrscheinlich ist. Google erwartet zudem Vorschläge für einen Patch.

Neu sind die die Fehlerkategorien Firmware und Lock Screen Bypass für Chrome OS. Forscher, die eine Exploit-Kette für Chrome OS entwickeln, mit der sich eine Chromebook oder eine Chromebox im Gastmodus dauerhaft kompromittieren lassen, dürfen ab sofort mit einer Belohnung von 150.000 Dollar rechnen. Bisher waren es 100.000 Dollar.

Lukrativer ist nun auch die Arbeit für das Google Play Security Reward Program, mit dem Google die Sicherheit von Apps im Play Store verbessern wird. So überweist Google beispielsweise nun statt 5.000 Dollar bis zu 20.000 Dollar für Beispielcode, der das Einschleusen und Ausführen von nativem ARM-Code ohne Interaktion mit einem Nutzer auf dessen Gerät erlaubt. Fehler, die den Diebstahl von persönlichen Daten erlauben, ergeben eine Prämie von 3000 Dollar. Denselben Betrag lobt Google auch für den Zugang zu geschützten App-Komponenten aus.

Google gilt als Vorreiter der Prämienprogramme für Sicherheitslücken. Inzwischen belohnen aber auch andere Unternehmen, darunter Microsoft und Facebook, die Arbeit von externen Sicherheitsforschern. Darüber hinaus gibt es Programme von Drittanbietern wie Trend Micros Zero Day Initiative, die unabhängig vom Anbieter für Details zu bestimmten Sicherheitslücken zahlen und diese anschließend vertraulich an die eigentlichen Hersteller weiterleiten.

Umstritten sind indes Anbieter, die Sicherheitslücken einkaufen, um sie an andere Unternehmen, Regierungsbehörden oder Strafverfolger weiterzuverkaufen. Diese Anfälligkeiten werden in der Regel nicht gegenüber den Herstellern offengelegt und bleiben damit ungepatcht. Allerdings zahlen solche Firmen oftmals deutlich höhere Prämien. So bietet das US-Startup Zerodium derzeit 2 Millionen Dollar für einen iOS-Remote-Jailbreak.

Whitepaper

CAD-Daten optimal verwalten: ECM-Lösungen vereinfachen Planmanagement

Wie ECM-Systeme CAD-Prozesse verbessern können, was eine gute ECM-Lösung beim Planmanagement auszeichnet und warum sich nscale CAD als spezialisierte Lösung für das Planmanagement anbietet, erklärt dieses Whitepaper.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Xiaomi Mi 10 und Mi 10 Pro für 799 Euro und 999 Euro ab April erhältlich

Mit einem Online-Event präsentiert Xiaomi die bereits in China vorgestellte Flaggschiff-Serie Mi 10 auch in Europa. Der Verkauf der Android-Smartphones,…

2 Tagen ago

Galaxy Note 10: Update bringt Software-Features des S20 und April-Sicherheitspatches

Derzeit steht das neueste Update allerdings nur für die freien Note-10-Modelle in der Schweiz und in Deutschland zur Verfügung. Neben…

2 Tagen ago

Ausbruch des Coronavirus: Was sind die kurz- und langfristigen Maßnahmen für CIOs?

COVID-19 stört die Betriebsfähigkeit von Unternehmen und wirkt sich auf die tägliche Arbeit sowie das Wachstum nachhaltig aus. CIOs müssen…

3 Tagen ago

Galaxy S10: Update bringt April-Sicherheitspatches und Features des S20

Derzeit steht das neueste Android-Update allerdings nur für die freien Galaxy-S10-Modelle in der Schweiz und in Deutschland zur Verfügung. Neben…

4 Tagen ago

Safari blockiert ab sofort alle Cookies von Drittanbietern

Damit können Online-Werbekunden und Analysefirmen bei Safari-Nutzern keine Browser-Cookies mehr verwenden, um Benutzer beim Besuch verschiedener Websites im Internet zu…

4 Tagen ago

Drohender Datenverlust: HPE und Dell veröffentlichen Patches für zahlreiche SSDs

Ein Fehler in der Firmware könnte für den Verlust von Daten bei SSDs nach Erreichen von 40.000 Betriebsstunden sorgen. Laut…

4 Tagen ago