Comment gagner de l'argent en trouvant des problèmes de sécurité dans les applications Android

Added 2019-09-11

Si vous êtes un développeur d’applications Android doué pour la recherche de problèmes de sécurité, vous pourriez être payé pour avoir prêté vos compétences à Google. Les pirates ont réussi à installer des applications infectées par des logiciels malveillants sur le Google Play Store, dont certaines ont reçu des millions de téléchargements.

En réponse, Google a ouvert son programme de prime aux bogues qui permet aux développeurs de détecter les problèmes de sécurité dans les applications courantes. Auparavant, seules quelques applications étaient couvertes. Désormais, toutes les applications Play Store populaires font partie du programme. Le programme verse des récompenses en espèces aux développeurs qui détectent et signalent des problèmes de sécurité.

Pourquoi Google a-t-il un programme de prime aux bogues

La première itération du programme de primes du bogue Play Store ne s’appliquait qu’à un très petit nombre d’applications de choix. À présent, Google a étendu le programme à toutes les applications du Play Store avec plus de 100 millions d'installations. Cela signifie que les chasseurs de bogues ont beaucoup plus d’occasions de découvrir les problèmes des applications Play Store et d’être récompensés pour les avoir signalés, même si les développeurs d’applications n’offrent pas leurs propres programmes de primes pour les bogues.

Google a déclaré avoir introduit ce programme dans l'espoir d '"encourager la communauté à nous aider à améliorer la sécurité de tous". Par conséquent, il encourage les chasseurs de bogues qui découvrent un bogue à le signaler aux développeurs d'applications ainsi qu'à Google. Cela donne aux développeurs d'applications d'origine la possibilité de résoudre le bogue rapidement. Et cela signifie une meilleure sécurité pour tous ceux qui utilisent des applications Android.

Comment participer au programme Bug Bounty

Le programme de primes de bugs Play Store est appelé leProgramme de récompense de sécurité Google Play (GPSRP). Google invite les chercheurs en sécurité et les développeurs d'applications à participer. La première étape consiste à remplir unapplication rejoindre le programme. Vous pouvez rechercher des problèmes de sécurité dans n'importe quelle application éligible sur le Play Store une fois que vous avez été approuvé.

Les participants recherchent trois types de vulnérabilité. Premièrement, les vulnérabilités d’exécution de code à distance sont celles qui permettent à un pirate d’accéder au périphérique d’un utilisateur et d’y apporter des modifications. Ce sont des problèmes de sécurité très graves.

Deuxièmement, il y a la question du vol de données privées non sécurisées. C'est à ce stade qu'une vulnérabilité permet à un pirate informatique de voler des informations personnelles telles que des informations de connexion, un historique Web ou des listes de contacts.

Troisièmement, il existe un accès aux composants d'applications protégées. Cela fait référence aux applications qui exécutent des fonctions pour lesquelles elles n’ont pas la permission. Par exemple, une application qui envoie des SMS même si elle n’a pas l’autorisation de l’utilisateur.

Le programme ne couvre pas certains problèmes de sécurité. Par exemple, les attaques de phishing, bien que potentiellement dangereuses, ne sont pas admissibles. En effet, ils travaillent en trompant l'utilisateur et non en exécutant du code malveillant. Le programme ne couvre pas non plus les attaques nécessitant un accès physique à un appareil.

Une fois que vous avez découvert un bogue, vous devez contacter le développeur de l'application pour le lui faire savoir. Ensuite, vous pouvez collaborer avec le développeur pour résoudre le problème. Une fois la vulnérabilité résolue, vous pouvez réclamer votre récompense en espèces auprès de Google.

Gagnez des primes pour la découverte d'abus de données par les applications

Google n'offre pas seulement des récompenses pour la recherche de bugs de sécurité. Il essaie de réprimer les applications qui volent également les données des utilisateurs. Récemment, la société a lancé sonProgramme de récompense Developer Data Protection (DDPRP), qui offre des avantages similaires aux développeurs qui découvrent l'utilisation abusive de données par les applications.

Les types d'abus de données recherchés par le programme sont les applications qui collectent et vendent les données des utilisateurs d'une manière contraire aux règles de confidentialité de Google. Par exemple, il peut s’agir d’une application qui collecte des données à partir des carnets de contacts des utilisateurs, telles que des métadonnées indiquant qui ils ont appelé et quand, sans protéger ces données en tant que données sensibles.

Cela couvrirait également les applications qui violent les règles sur les autorisations, telles que les applications qui ont accès aux autorisations SMS, mais les utilisent pour collecter des données sur les messages SMS des utilisateurs pour les revendre à des tiers. Alternativement, cela couvrirait une application qui demande la permission d'accéder aux données de contact, puis réutilisera ces données pour une application non liée.

Pour avoir plus de détails sur les types d’abus de données admissibles au programme, vous pouvez consulter leSite web DDPRP. Comme avec le programme de primes de bogues, toute application sur le Play Store comptant plus de 100 millions d'installations est éligible.

Les récompenses offertes pour la découverte de bugs

Des récompenses en argent sont proposées pour le programme Prime au bug et les programmes d’abus de données. Le montant versé pour un rapport dépend de la gravité du problème. Cela dépend également de la qualité du rapport soumis à Google.

Les récompenses pour le programme de récompenses de sécurité Google Play vont de 5 000 à 20 000 USD pour les bogues d'exécution de code à distance, de 1 000 USD à 3 000 USD pour le vol de données confidentielles non sécurisées et de 1 000 USD à 3 000 USD pour l'accès aux composants d'applications protégées. En outre, il existe des bonus pour la divulgation des vulnérabilités aux développeurs d'applications de manière responsable. Cela donne aux développeurs la possibilité de corriger le problème.

Les récompenses pour le programme de récompense de protection des données de développeur vont de 100 USD à 1 000 USD. Pour réclamer la récompense, vous devrez soumettre un rapport. Vous devez écrire des informations sur la violation de la stratégie de données, la manière dont les données ont été mal exploitées et une liste des moments où l'application a enfreint les stratégies.

Gagnez de l'argent en chassant des vulnérabilités de sécurité