Google hat vor zehn Jahren das Vulnerabilitiy Rewards Program gestartet, das sich von Beginn bis Heute als großer Erfolg herausgestellt und das eine oder andere Google-Produkt sicherer gemacht hat. Nach einem Jahrzehnt verleiht man dem Ganzen nun ein neues Gesicht und bringt es unter das Dach der Google Bug Hunters. Das ist aus deutscher Sicht nur ein deutlich besserer Name, sondern bringt auch neue Herausforderungen und Motivationen mit.
Viele große Software-Unternehmen betreiben heute Bug Bounty-Plattformen, auf denen man die Entdecker von Sicherheitslücken mit teilweise recht hohen Beträgen belohnt. Statt die Sicherheitslücken an Hacker zu verkaufen, sollen die Software-Detektive so die Möglichkeit haben, mit ihrem Hobby / Arbeit Geld zu verdienen. Eine Win-win-win-Situation für die Spürnasen, den Softwareentwickler und schlussendlich durch die erhöhte Sicherheit auch für die Nutzer.
- Belohnte gefundene Sicherheitslücken: 11.055
- Anzahl Bug Hunter: 2.022
- Herkunftsländer der Bug Hunter: 84
- Ausgeschütteter Betrag: 29.357.516 Dollar
In den zehn Jahren seit Bestehen hat Google für entdeckte Sicherheitslücken in Android, Chrome, Google Play und anderen Google-Produkten) knapp 30 Millionen Dollar an Belohnungen ausgezahlt. Klingt nach sehr viel Geld, aber wenn man bedenkt wie viel Arbeitsstunden in diesen zehn Jahren eingeflossen sind ist das für ein Unternehmen in Googles Größe nur ein Trinkgeld. Immerhin geht es um die Sicherheit der wichtigsten Google-Plattformen, sodass schon eine einzige große ausgenutzte Lücke deutlich mehr kosten könnte.
Nun hat man die neue Plattform Bug Hunters gestartet, mit der man dem Ganzen Programm ein neues Gesicht gibt. Man schafft nicht nur die neue Plattform, sondern macht das Einreichen von Sicherheitslücken leichter, hat die Abwicklung vereinfacht, Leaderboards und Abzeichen geschaffen, um das Ganze etwas herausfordernder zu gestalten und gibt dem gesamten Prozess einen modernen Anstrich. Ein sehr großes und wichtiges Thema, das dadurch ohne Frage stark aufgelockert wird.
- Interaktionen & Wettbewerb: Die neue Seite enthält einige Gamification-Elemente wie Leaderboards, Badges und mehr.
- Funktionelles Leaderbord: Es gibt Toplisten für die erfolgreichsten Bugjäger. Ein Eintrag in dieser Liste ist für viele in diesem Bereich wie ein Joker im Lebenslauf bzw. bei Bewerbungen.
- Learning by Doing: Mit dem Bereich der „Bug Hunter University“ sollen Nutzer und Interessierte ihre Skills verebssern können.
- Einfache Veröffentlichung: Bug Huntern soll es nun leichter gemacht werden, die gefundenen Sicherheitslücken zu übermitteln.
- Swag: Erfolgreiche Bug Hunter erhalten Goodies und Merchandising, was wohl sehr oft gewünscht wurde.
Tatsächlich sind die Leaderboards, die nach Land sortiert werden können, nicht nur eine Spielerei wie etwa bei den Local Guides, sondern ein sehr wichtiges Tool: Eine entdeckte Sicherheitslücke in einem Google-Produkt macht sich in einem IT-Lebenslauf sicherlich sehr gut und so gibt es dort nun auch Hinweise. Ohne Frage werden auch Headhunter diese Listen im Augen behalten, sodass sich die Einreichung auch abseits der Google-Prämie für die Spürnase lohnen kann.