La sécurité dans l'espace mobile est critique. Avec des milliards d'utilisateurs de par le monde, les développeurs d'applications et de systèmes d'exploitation doivent travailler de concert pour offrir une expérience robuste face à des campagnes toujours plus créatives et malveillantes. Lors de son dernier événement Playtime, l'équipe de Google a dévoilé le programme Google Play Security Reward, par lequel elle promet un paiement supplémentaire de 1 000 dollars à toute personne qui découvrirait des vulnérabilités dans certaines des applications les plus importantes de l'écosystème Android, parmi lesquelles Snapchat, Tinder et Dropbox.
Presque plus aucun doute ne subsiste : l'une des meilleures façons (pour ne pas dire « la meilleure ») de stimuler la recherche et la détection de bugs dans des logiciels essentiels est d'offrir des récompenses qui en valent la peine pour les personnes impliquées. Les découvertes les plus importantes émanent souvent de sociétés entièrement dédiées à la sécurité informatique, mais l'effort des chercheurs indépendants est fondamental pour protéger nos logiciels et systèmes d'exploitation préférés. Dans le cas d'Android, sa dimension actuelle exige des actions spécifiques, et l'une d'elles est celle annoncée par Google lors de l'événement officiel Playtime la semaine dernière.
Le géant de Mountain View a décidé de s'associer à HackerOne pour lancer le Google Play Security Reward Program, qui promet une récompense de 1 000 dollars par vulnérabilité découverte. Le mécanisme est le suivant : le chercheur découvre un bug dans l'une des applications participant au programme et le signale à ses développeurs par les voies officielles. Les deux parties travaillent à la correction du problème, et une fois celui-ci marqué comme résolu, Google effectue le paiement. À Mountain View, on ne s'intéresse pas au bug : le programme se limite à la demande de bonus spéciaux, bien qu'il comporte plusieurs règles. L'une d'elles est qu'il n'accepte que les vulnérabilités permettant l'exécution de code à distance avec une preuve de concept correspondante sur des appareils Android 4.4 ou supérieur.
Les applications concernées
Pour le moment, elles sont huit : Alibaba, Duolingo, Dropbox, Headspace, Line, Snapchat, Tinder et le service Mail.ru.
D'après ce que nous avons pu constater, seules les entrées corrigées dans un délai de 90 jours seront éligibles. En d'autres termes, commencez à pirater ! Peut-être que 1 000 dollars attendent une personne comme vous dans l'une de ces applications.
