2月7日,谷歌官方公開了2017年漏洞獎勵計劃總結(jié)報告,全年共為提交漏洞的安全研究員發(fā)放了高達(dá)290萬美元的獎勵金。以下為報告詳細(xì)內(nèi)容:
在新一年開始之際,我們來花點時間回顧一下2017年的漏洞獎勵計劃。當(dāng)然其中也加入了2014年、2015年和2016年的回顧,展示我們漏洞獎勵計劃的進(jìn)程。
這篇博文的核心是向安全研究團(tuán)隊表示由衷的感謝。在各位的持續(xù)幫助下,谷歌的用戶和我們的產(chǎn)品變得愈發(fā)安全。我們期待著在2018年及今后繼續(xù)與各個團(tuán)隊保持合作!
用數(shù)據(jù)說話:2017年
以下是2017年,我們?nèi)绾螌ρ芯咳藛T提供的報告進(jìn)行獎勵的:
為獎勵研究人員在谷歌產(chǎn)品內(nèi)發(fā)現(xiàn)漏洞并報告給我們,我們授予過研究人員超過100萬美元獎金。安卓也有相近的獎金數(shù)額。再加上我們的Chrome獎勵,去年一年,我們向研究人員提供的報告累計獎勵了近300萬美元。
再深入一點,我們通過漏洞研究資助計劃(Vulnerability Research Grants Program)向來自世界各地的50多名安全研究人員頒發(fā)了12.5萬美元的獎金,并將5萬美元獎勵給那些努力工作的人,他們提高了開源軟件的安全性,這也是我們的補丁獎勵計劃( Patch Rewards Program)的一部分。
幾個亮點漏洞
每年都有一些漏洞報告脫穎而出,有的研究也許特別巧妙,有些漏洞可能特別嚴(yán)重,或者有些報告特別有趣或者時效性很強。
這里是2017年最讓我們喜歡的一部分:
1. 8月,360 Alpha 團(tuán)隊安全研究員龔廣提出一個Pixel手機的漏洞鏈,這是一個Chrome沙箱渲染進(jìn)程的遠(yuǎn)程執(zhí)行漏洞與Android的libgralloc模塊中漏洞的組合,其中Android漏洞可用于從Chrome的沙箱中逃逸。作為Android安全獎勵計劃的一部分,他獲得了今年最大的獎勵:112,500美元。在去年的移動pwn2own比賽中,Pixel是唯一沒有被攻破的設(shè)備,而龔廣的報告也進(jìn)一步加強了Pixel的安全性。
2. 研究人員“gzobqq”獲得了Pwnium的10萬美元獎金,他發(fā)現(xiàn)了一個五個組件的漏洞鏈,可在Chrome OS訪客模式下實現(xiàn)遠(yuǎn)程代碼執(zhí)行,。
3. Alex Birsan發(fā)現(xiàn),任何人都可以訪問Google內(nèi)部的問題跟蹤器數(shù)據(jù)。他詳細(xì)介紹了他的研究成果,我們?yōu)樗呐Κ剟盍?5,600美元。
讓Android和Play更安全
在過去的一年中,我們繼續(xù)開展Android和Play安全獎勵計劃。
在過去兩年多時間里,沒有人獲得Android利用鏈的最高獎勵,因此,我們宣布對遠(yuǎn)程漏洞鏈的最大獎勵——也就是對能遠(yuǎn)程攻破TrustZone 或者Verified Boot的漏洞——將從5萬美元增加到20萬美元。我們還將遠(yuǎn)程內(nèi)核漏洞的最高獎勵從3萬美元增加到15萬美元。
在十月份,我們推出了僅限受邀的Google Play安全獎勵計劃,以鼓勵對Google Play上的熱門Android應(yīng)用進(jìn)行安全性研究。
今天,我們將遠(yuǎn)程代碼執(zhí)行的獎勵范圍從1,000美元擴展到5,000美元。我們還引入了一個新的類別,其中包括可能導(dǎo)致用戶隱私數(shù)據(jù)被盜的漏洞,未加密的信息,或?qū)е略L問受保護(hù)的應(yīng)用程序組件的漏洞。我們將為這些漏洞獎勵1000美元。有關(guān)詳情,請訪問Google Play安全獎勵計劃網(wǎng)站。
最后,我們希望告訴那些向Chrome Fuzzer Program提交Fuzzer的研究人員:他們的Fuzzer發(fā)現(xiàn)的每一個合格的漏洞都將獲得獎勵,無需再做額外的工作,甚至不需要再提交漏洞。
鑒于過去幾年良好的發(fā)展情況,我們期待漏洞獎勵計劃在安全研究界的共同努力下,能夠在2018年保護(hù)更多用戶。
原文鏈接:
Google Online Security Blog: Vulnerability Reward Program: 2017 Year in Review https://security.googleblog.com/2018/02/vulnerability-reward-program-2017-year.html
- 特斯拉奧斯汀自動駕駛測試新動態(tài):謹(jǐn)慎前行,商業(yè)服務(wù)何時落地?
- OpenAI雄心勃勃:未來五年收入翻倍,2029年目標(biāo)達(dá)1250億美元
- 小米辟謠:高階駕駛培訓(xùn)車禍純屬謠言,已啟動法律程序追究造謠者責(zé)任
- “董明珠健康家”探店尋寶直播即將開啟 鎖定6月10日18點京東直播
- 抄襲風(fēng)波后小米回應(yīng):設(shè)計稿說明一切,原創(chuàng)才是硬道理
- 英特爾版Mac停更:告別歷史,新篇章開啟?
- 蘋果WWDC25:AI不進(jìn)則退,警惕被競爭對手拉開差距
- TikTok積極拓展英國市場,創(chuàng)新崗位擴容,攜手就業(yè)新機遇
- 硅基智能“翻身”阿里云領(lǐng)投,流動科技再獲億元融資,新賽道正式開啟
- AI賦能網(wǎng)絡(luò)安全:Fortinet三大智能體引領(lǐng)數(shù)據(jù)鏈共享協(xié)同作戰(zhàn),揭秘未來安全新篇章
免責(zé)聲明:本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿,凡在本網(wǎng)站出現(xiàn)的信息,均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性,但不保證有關(guān)資料的準(zhǔn)確性及可靠性,讀者在使用前請進(jìn)一步核實,并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏,概不負(fù)任何法律責(zé)任。任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時,應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明,并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后,將會依法盡快聯(lián)系相關(guān)文章源頭核實,溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。