A segurança no espaço móvel é crítica. Com bilhões de usuários lá fora, desenvolvedores de aplicativos e sistemas operacionais precisam trabalhar juntos para oferecer uma experiência robusta diante de campanhas cada vez mais criativas e maliciosas. No seu último evento Playtime, o pessoal do Google anunciou o programa Google Play Security Reward, sob o qual promete um pagamento extra de US$ 1.000 a quem encontrar vulnerabilidades em alguns dos aplicativos mais importantes do ecossistema Android, incluindo Snapchat, Tinder e Dropbox.
Já não restam muitas dúvidas: uma das melhores formas (para não dizer "a melhor") de estimular a busca e detecção de bugs em software essencial é oferecer recompensas que valham a pena para os envolvidos. As descobertas mais importantes costumam estar a cargo de empresas dedicadas completamente à segurança da informação, mas o esforço dos pesquisadores independentes é fundamental na hora de proteger nossos programas e sistemas operacionais preferidos. No caso do Android, sua dimensão atual demanda ações específicas, e uma delas é a que o Google anunciou durante o evento oficial Playtime na semana passada.
Como funciona o programa?
O gigante de Mountain View decidiu unir forças com a HackerOne para lançar o Google Play Security Reward Program, que promete uma recompensa de US$ 1.000 por vulnerabilidade descoberta. O mecanismo funciona assim: o pesquisador descobre um bug em um dos aplicativos que participam do programa e o reporta aos seus desenvolvedores seguindo as vias oficiais. Ambas as partes trabalham para corrigir o problema e, depois de marcado como solucionado, o Google realiza o pagamento. A Mountain View não está interessada em saber sobre o bug: o programa se limita à solicitação de bonificações especiais, embora carregue várias regras. Uma delas é que só aceita vulnerabilidades que habilitam a execução remota de código com a correspondente prova de conceito em dispositivos Android 4.4 ou superior.
Quais aplicativos participam?
Quais são os aplicativos a investigar? Por enquanto são oito: Alibaba, Duolingo, Dropbox, Headspace, Line, Snapchat, Tinder e o serviço Mail.ru. Pelo que pudemos comprovar, só calificarão aquelas entradas corrigidas dentro de 90 dias. Em outras palavras, comece a hackear! Talvez haja US$ 1.000 com seu nome esperando em um desses aplicativos.
