Mit dem Vulnerability Reward Program betreibt Googles eines der bekanntesten und beliebtesten Bug Bounty-Projekte und zahlt Entdeckern von Sicherheitslücken in den eigenen Systemen hohe Prämien aus. Um den Ansporn weiter zu erhöhen bzw. stabil zu halten, wurden nun die Prämien für zwei Kategorien um jeweils mehrere tausend Dollar erhöht. Für den Königs-Hack gibt es nun über 30.000 Dollar.
Bug Bounty-Programme sind eine geniale Erfindung und erfüllen gleich mehrere Zwecke: Hacker und Tüftler überprüfen Systeme in ihrer Freizeit auf Schwachstellen und melden die gefundenen Lücken direkt an Google bzw. das entwickelnde Unternehmen. Dadurch wird einerseits die Sicherheit des Systems durch die geschlossen Lücke erhöht, der Entdecker bekommt einen relativ hohen Geldbetrag und nutzt diese Lücke nicht selbst für Angriffe aus und in der Öffentlichkeit genießt das schnelle Stopfen ebenfalls einen guten Ruf – eine Win-Win-Win-Win-Situation für alle Seiten.
Um auch weiterhin für Hacker attraktiv zu sein, und den Verkauf von gefundenen Lücken an andere Stelle zu verhindern, erhöht Google immer wieder mal die Prämien für gefundene Lücken. Ein weiterer Grund für die Erhöhungen ist es auch, dass es nach vielen Jahren natürlich immer schwerer wird, überhaupt noch Lücken zu entdecken und auch mehr Arbeitszeit benötigt. Erst im vergangenen Jahr wurde etwa die Prämie für einen Chrome OS-Hack auf 100.000 Dollar erhöht.
Jetzt wird die Prämie für einen Hack bzw. Angriff in der Kategorie „Unrestricted file system or database access“ von 10.000 Dollar auf ganze 13.337 erhöht – womit wieder mal eine von Google geliebten Geek-Zahlen mit ins Spiel kommt. In der zweiten Kategorie „Remote Code Execution“ geht das Preisgeld sogar noch deutlich weiter in die Höhe und schießt von bisher 20.000 Dollar auf jetzt 31.337 Dollar nach oben. Angesichts der Tatsache dass dies eine schwerwiegende Sicherheitslücke wäre, ein angemessenes Preisgeld.
In der Ankündigung gibt Google auch gleich noch bekannt, woher die fleißigsten Hacker im vergangenen Jahr stammten. Die meisten Meldungen kamen aus China und haben damit erstmals den US-Markt übertrumpft, der nur auf den zweiten Platz gefallen ist. Gleich dahinter steht mit Indien wieder ein asiatisches Land, das direkt von Deutschland gefolgt wird. Aus Deutschland kamen im vergangenen Jahr 27 Prozent mehr Meldungen als im Jahr zuvor und auch das fünftplatzierte Frankreich stieg um ganze 44 Prozent.
Im vergangenen Jahr hatte Google laut einer wenigen Wochen alten Statistik ganze 3 Millionen Dollar ausgegeben und sie an Entdecker der Sicherheitslücken ausgezahlt. Allein für Android ging dabei mehr als eine halbe Million Dollar drauf. Ob es in diesem Jahr durch die Erhöhung mehr oder durch die immer weitere steigende Sicherheit weniger wird, bleibt abzuwarten.
» Ankündigung im Google Security-Blog