Googleは、バグバウンティプログラムをPlayストアのより多くのアプリに拡大しています

知っておくべきこと

• Googleは、セキュリティ報酬プログラムを拡大し、新しい開発者データ保護報酬プログラムを開始しています。
• セキュリティリワードプログラムは、アプリ開発者がバグ報奨金プログラムを設定していない場合でも、1億回以上インストールされたGoogle Playのすべてのアプリを対象としています。
• Googleは、デベロッパーデータ保護報酬プログラムを使用して、アプリ内のデータの不正使用を取り締まることを目指しています。

Google Playストアには一見無数のアプリが溢れています。デジタルセキュリティがますます重要になっている時代に、これらのアプリができる限り安定して安全であることを保証するシステムを導入することが重要です。 8月29日に、Googleはこの取り組みを支援するためにPlayストアにいくつかの大きな変更を加えることを発表しました。

まず第一に、既存のGoogle Playセキュリティ報酬プログラム（GPSRP）が大幅に刷新されています。 GPSRPは2017年6月にHackerOneとともにリリースされ、アプリのバグを特定するのに役立ちます。今日では、少なくとも1億インストールされているPlayストアのアプリを含めるように拡張されています。独自のバグ報奨金プログラムが確立されました。

GPSRPの範囲を拡大して、Google Playのすべてのアプリに1億以上のインストールが含まれるようにします。 これらのアプリは、アプリ開発者が独自の脆弱性の開示やバグ報奨金プログラムを持っていなくても、報酬の対象となります。 これらのシナリオでは、Googleは特定の脆弱性を影響を受けるアプリ開発者に責任を持って開示するのに役立ちます。 これにより、セキュリティ研究者は、数百の組織がアプリの脆弱性を特定して修正できるようになります。

2年ほど前に発売されて以来、GPSRPは265, 000ドル以上のバグ報奨金を支払いました。

GPSRPの刷新に加えて、Googleは「Developer Data Protection Reward Program」（別名DDPRP）と呼ばれる新しいイニシアチブも開始しています。

Googleは再びHackerOneおよびDDPRPと協力して、次のことを目指しています。

Androidアプリ、OAuthプロジェクト、Chrome拡張機能のデータ不正使用の問題を特定して軽減します。

DDPRPは、「データの不正使用の検証可能で明白な証拠」を提供できる人を補償します。最高の賞金は50, 000ドルです。

Google Payは2019年にそれほどひどくないはずです