Google introduit un programme ‘bug bounty’ pour les projets open source

Avec son nouveau programme ‘bug bounty’, Google veut récompenser les chercheurs en sécurité qui lui signalent des failles dans ses projets open source.

Google lance l’Open Source Software Vulnerability Rewards Program (OSS VRP). Ce programme cible toutes les versions actualisées des logiciels open source qui sont stockés entre autres dans des référentiels (‘repositories’) publics de Github pour les projets Google. Pensez à Google, GoogleAPIs et GoogleCloudPlatform. Des logiciels externes, dont Google est dépendante pour certains éléments, peuvent également en faire partie, mais le géant technologique explique que dans ce cas, les chercheurs doivent d’abord informer les développeurs d’origine.

De 100 à 31.337 dollars

L’OSS VRP se focalise sur les bugs qui peuvent générer des attaques de la chaîne d’approvisionnement, mais aussi sur les défauts de conception qui provoquent des failles et d’autres problèmes de sécurité tels que de faibles mots de passe, des installations non sécurisées ou l’utilisation de données d’identification faibles et/ou divulguées. Les récompenses offertes par Google via l’OSS VRP varient entre 100 et 31.337 dollars. Les plus importantes ciblent les failles dans Bazel, Angular, Golang, Protocol Buffers et Fuchsia. Google entend encore étoffer cette liste dans le futur.

En collaboration avec Dutch IT Channel