Google объявляет об увеличении средств на устранение ошибок в системе безопасности

Google анонсировал Pwnium2 и увеличил уровень бонусов, выплачиваемых в рамках программы вознаграждений за уязвимости Chromium.

Благодаря усилиям исследователей безопасности Chromium стал более безопасным, но это также означает, что поиск дыр в безопасности стал более трудным. Поэтому Google решил добавить бонус в размере 1000 долларов США или более к суммам, которые уже предлагаются тем, кто сообщает об уязвимых для использования ошибках. Он уже задним числом присудил бонус в размере 3000 долларов, чтобы продемонстрировать, как будет работать обновленная схема.

Программа вознаграждений за уязвимости Chromium продолжается и присуждает суммы до 10 000 долларов, но для Pwnium2 предлагаются призы и побольше. В сообщении в блоге, объявляющем о новом конкурсе, который состоится в связи с 10-летней конференцией Hack In The Box в Куала-Лумпуре, Малайзия, Крис Эванс из Google пишет:

На этот раз мы будем спонсировать награды на сумму до 2 миллионов долларов.

и объясняет, что уровни вознаграждения ближе друг к другу, чем раньше, чтобы отразить тот факт, что любая компрометация локальной учетной записи очень серьезна.

Предлагается три уровня с множеством наград:

60 000 долларов США: «Полный эксплойт Chrome»: сохранение локальной учетной записи пользователя ОС Chrome / Win7 с использованием только ошибок самого Chrome.

50 000 долларов США: «Частичный эксплойт Chrome»: сохранение учетной записи пользователя локальной ОС Chrome / Win7 с использованием как минимум одной ошибки в самом Chrome, а также других ошибок. Например, ошибка WebKit в сочетании с ошибкой ядра Windows.

40 000 долларов: «Эксплойт, не связанный с Chrome»: Flash / Windows / другое. Сохранение локальной учетной записи пользователя ОС Chrome / Win7, которая не использует ошибки в Chrome. Например, ошибки в одном или нескольких Flash, Windows или драйвере.

Неопределенная сумма денег также будет присуждаться по усмотрению комиссии за «неполные эксплойты», которые не являются надежными или имеют неполную цепочку эксплойтов. Например, выполнение кода внутри песочницы, но без выхода из песочницы; или побег из рабочей песочницы изолированно, как объясняет Эванс:

В Pwnium 2 мы хотим вознаградить тех, кто «отстает», поскольку мы определенно могли бы извлечь уроки из этой работы. Наша комиссия по наградам рассмотрит любые такие работы как можно более щедро.

На первом конкурсе Pwnium, на который Google предложил до 1 миллиона долларов, Google фактически выдал 120 000 долларов. Это привело к большему вниманию исследователей безопасности к этому второму событию и удвоило доступный призовой фонд. В октябре мы узнаем, каков результат.