Google hat sein Prämienprogramm für Sicherheitslücken aufgestockt. Die Belohnungen, die Sicherheitsforscher erhalten, die Details zu Schwachstellen in Chrome und Chrome OS vertraulich an Google melden, wurden zum Teil verdoppelt oder gar verdreifacht. So steigt die maximale Basisprämie von 5000 auf 15.000 Dollar und der Höchstbetrag für besonders hochwertige Anfälligkeiten und Fehlerberichte von 15.000 auf 30.000 Dollar.
Seitdem wurde das Programm laufend erweitert. Dazu gehört das Chrome Fuzzer Program, bei dem sogenannten Fuzzer zum Einsatz kommen, um automatisiert nach Sicherheitslücken zu suchen. Diese Bugs wurden bisher mit je 500 Dollar entlohnt – künftig sind es 1000 Dollar.
Darüber hinaus kündigte Google neue Fehlerkategorien an und überarbeitete die Kriterien für hochwertige Anfälligkeiten. Dabei handelt es sich nun um Fehler, die „leicht, aktiv und zuverlässig gegen unsere Nutzer eingesetzt werden können“. Die zugehörigen Fehlerberichte sollen zudem aufzeigen, dass eine Ausnutzung des Bugs sehr wahrscheinlich ist. Google erwartet zudem Vorschläge für einen Patch.
Neu sind die die Fehlerkategorien Firmware und Lock Screen Bypass für Chrome OS. Forscher, die eine Exploit-Kette für Chrome OS entwickeln, mit der sich eine Chromebook oder eine Chromebox im Gastmodus dauerhaft kompromittieren lassen, dürfen ab sofort mit einer Belohnung von 150.000 Dollar rechnen. Bisher waren es 100.000 Dollar.
Lukrativer ist nun auch die Arbeit für das Google Play Security Reward Program, mit dem Google die Sicherheit von Apps im Play Store verbessern wird. So überweist Google beispielsweise nun statt 5.000 Dollar bis zu 20.000 Dollar für Beispielcode, der das Einschleusen und Ausführen von nativem ARM-Code ohne Interaktion mit einem Nutzer auf dessen Gerät erlaubt. Fehler, die den Diebstahl von persönlichen Daten erlauben, ergeben eine Prämie von 3000 Dollar. Denselben Betrag lobt Google auch für den Zugang zu geschützten App-Komponenten aus.
Google gilt als Vorreiter der Prämienprogramme für Sicherheitslücken. Inzwischen belohnen aber auch andere Unternehmen, darunter Microsoft und Facebook, die Arbeit von externen Sicherheitsforschern. Darüber hinaus gibt es Programme von Drittanbietern wie Trend Micros Zero Day Initiative, die unabhängig vom Anbieter für Details zu bestimmten Sicherheitslücken zahlen und diese anschließend vertraulich an die eigentlichen Hersteller weiterleiten.
Umstritten sind indes Anbieter, die Sicherheitslücken einkaufen, um sie an andere Unternehmen, Regierungsbehörden oder Strafverfolger weiterzuverkaufen. Diese Anfälligkeiten werden in der Regel nicht gegenüber den Herstellern offengelegt und bleiben damit ungepatcht. Allerdings zahlen solche Firmen oftmals deutlich höhere Prämien. So bietet das US-Startup Zerodium derzeit 2 Millionen Dollar für einen iOS-Remote-Jailbreak.
Wie ECM-Systeme CAD-Prozesse verbessern können, was eine gute ECM-Lösung beim Planmanagement auszeichnet und warum sich nscale CAD als spezialisierte Lösung für das Planmanagement anbietet, erklärt dieses Whitepaper.
Check Point warnt vor offener Schwachstelle, die derzeit von Hackern für Phishing ausgenutzt wird.
Video-Babyphones sind ebenfalls betroffen. Cyberkriminelle nehmen vermehrt IoT-Hardware ins Visier.
Der Downloader hat hierzulande im April einen Anteil von 18,58 Prozent. Im Bereich Ransomware ist…
Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…
Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…
Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…