O Google anunciou que está disposto a distribuir recompensas em dinheiro de até US $ 1,5 milhão se os pesquisadores de segurança encontrarem e reportarem bugs no sistema operacional Android. Além disso, esses problemas também devem comprometer seu novo chip de segurança Titan M. Assim, o Google pagará até US $ 1,5 milhão a quem invadir o chip Titan M.
Lançado no ano passado, o chip Titan M faz parte atualmente dos dispositivos Google Pixel 3 e Pixel 4. É um chip separado, incluído nos dois telefones, dedicado exclusivamente ao processamento de dados e processos confidenciais. Ele possui inicialização verificada, criptografia de disco no dispositivo, proteções de tela de bloqueio, transações seguras e muito mais.
Google pagará até US $ 1,5 milhão a quem invadir o chip Titan M
O Google diz que, se os pesquisadores conseguirem encontrar “uma exploração remota de código em cadeia completa com persistência” que também comprometa os dados protegidos pelo Titan M, eles estarão dispostos a pagar até US $ 1 milhão ao caçador de bugs que o encontrar.
Se a cadeia de exploração funcionar com uma versão de pré-visualização do sistema operacional Android, a recompensa pode chegar a US $ 1,5 milhão.
O Google está disposto a dar o maior pagamento por um bug em uma versão de pré-visualização, porque permite que a empresa corrija um bug antes que o sistema operacional Android seja enviado para dispositivos do mundo real.
A decisão da empresa ocorreu depois que no início deste ano, empresas privadas aumentaram os pagamentos por bugs do Android para US $ 2,5 milhões. Então, pela primeira vez, os bugs do Android valiam mais do que as explorações do iOS no mercado privado.
Na época, Chaouki Bekrar, CEO do programa privado de aquisição de bugs Zerodium, disse que sua empresa havia aumentado os pagamentos porque os dispositivos Android se tornaram mais difíceis de invadir devido ao fluxo constante de recursos de segurança que o Google adicionou ao sistema operacional, além de contribuições da Samsung.
AUMENTO DE PAGAMENTOS EM GERAL
O anúncio chega quando o Google também aumenta os pagamentos de recompensas por bugs em todo o Android Vulnerability Rewards Program (VRP).
Até hoje, o pagamento máximo de vulnerabilidade era de US $ 200.000 para “uma cadeia de exploração remota que levava a um comprometimento do TrustZone ou do Verified Boot”.
Desde o lançamento do VRP do Android em 2015, ninguém ganhou essa recompensa, e são poucas as chances de ninguém conseguir invadir o Android rodando em um chip Titan M.
As explorações remotas – que funcionam sem o invasor ter acesso físico a um dispositivo – são difíceis de criar, pois a maioria dos vetores de ataque, como os protocolos de rede, foi conectada. Mesmo que um invasor / pesquisador encontre um ataque remoto, ganhar persistência de inicialização é outro grande obstáculo que ninguém conseguiu solucionar.
GOOGLE: VIMOS DOIS RCES DE CADEIA COMPLETA
“Vimos dois RCEs completos de cadeia completa”, disse um porta-voz do Google quando perguntado o quão comuns são os relatórios de vulnerabilidade para bugs que podem ser explorados remotamente.
Ambos vieram do mesmo pesquisador. A maioria das cadeias de exploração enviadas é local e não remota, disse o porta-voz do Google.
O pesquisador é Guang Gong, do Alpha Lab, Qihoo 360 Technology Co. Ltd. Uma dessas duas cadeias de exploração de RCEs também ajudou Guang a obter a maior recompensa de bug em 2019.
Este relatório detalhou a primeira cadeia de exploração de execução remota de código com 1 clique no dispositivo Pixel 3, disse o Google.
O Guang Gong recebeu 161.337 dólares do programa Android Security Rewards e 40.000 dólares pelo programa Chrome Rewards, num total de 201.337 dólares, acrescentou.
A recompensa combinada de US $ 201.337 também é a maior para uma única cadeia de exploração em todos os programas do Google VRP.
US $ 500.000 PARA A EXFILTRAÇÃO DE DADOS E DESVIOS DA TELA DE BLOQUEIO
No entanto, além de introduzir uma recompensa de US $ 1,5 milhão por hackers remotos do Titan M e aumentar as recompensas em geral, o Google também está adicionando outra categoria de relatório de erros.
O fabricante do sistema operacional diz que está disposto a pagar até US $ 500.000 por relatórios de erros envolvendo exfiltração de dados e desvios da tela de bloqueio, dependendo da complexidade do bug.
A disposição do Google de aumentar os pagamentos de recompensas por bugs certamente está enraizada na confiança da empresa no fato de que o Android é seguro o suficiente para não cair na armadilha de ataques fáceis.
De qualquer forma, o Google não tem medido esforços e tem sido uma das empresas com os maiores pagamentos do mercado. Desde o lançamento do VRP do Android em 2015, o Google disse que pagou aos pesquisadores até US $ 4,5 milhões, com US $ 1,5 milhão sendo pago nos últimos 12 meses.
Mais de 100 pesquisadores participantes receberam uma recompensa média superior a US $ 3.800 por descoberta (aumento de 46% em relação ao ano passado). Em média, isso significa que pagamos mais de US $ 15.000 (aumento de 20% em relação ao ano passado) por pesquisador, afirmou o Google.
Fonte: ZDNet
