Google menawarkan berbagai solusi dan layanan perangkat lunak untuk pengguna reguler dan bisnis. Perusahaan ini memiliki tim pengujian sendiri untuk menemukan potensi bug dan kerentanan. Namun, mereka juga memiliki program hadiah yang mendorong peneliti eksternal untuk berpartisipasi dalam proses tersebut. Sekarang, perusahaan tersebut sedang merestrukturisasi skema pembayarannya untuk menemukan kerentanan dalam krom.
Baru-baru ini, Google tutup Program Penghargaan Keamanan Google Play (GPSRP). Mereka membuat keputusan berdasarkan kematangan platform dan efektivitas alat deteksi malware milik perusahaan. Namun, ada segmen lain yang masih memerlukan bantuan peneliti eksternal, seperti platform berbasis AI dan kromprotagonis artikel ini. Untuk yang terakhir, Google memiliki krom Program Penghargaan Kerentanan (VRP).
Google meluncurkan skema pembayaran baru untuk penelitian kerentanan Chrome
Google memulai debutnya VPR-nya Chrome 14 tahun yang lalu, menyesuaikan hadiah dari waktu ke waktu sesuai dengan kebutuhan platform. Kini, perusahaan tersebut membuat restrukturisasi baru yang berupaya untuk “memberikan insentif bagi pelaporan berkualitas tinggi dan penelitian lebih mendalam tentang kerentanan Chrome, mengeksplorasi kerentanan tersebut hingga dampak dan potensi eksploitasinya yang maksimal.” Perubahan tersebut melibatkan hadiah hingga dua kali lipat lebih tinggi untuk beberapa kerentanan, seperti yang terkait dengan MiraclePtr.
Krom Struktur VPR yang baru memisahkan kerentanan menjadi dua segmen utama. Sekarang ada “kerentanan kerusakan memori” dan “kerentanan lainnya.” Temuan kerusakan memori dibagi menjadi empat kategori: Laporan berkualitas tinggi dengan demonstrasi RCE (melibatkan eksekusi kode jarak jauh), laporan berkualitas tinggi yang menunjukkan penulisan terkendali (melibatkan penulisan memori oleh penyerang), laporan berkualitas tinggi tentang kerusakan memori, dan garis dasar (demo kerusakan memori yang dapat dipicu di Chrome).
Dalam setiap kategori, ada parameter tertentu yang menentukan pembayaran untuk temuan. Misalnya, pastikan apakah proses tersebut berada dalam sandbox (lingkungan yang terisolasi atau terkendali), tidak dalam sandbox, atau memiliki hak istimewa tinggi. Tabel di bawah ini menggambarkan skema pembayaran baru untuk kerentanan kerusakan memori.
Kemudian, seperti yang tersirat dari nama segmen tersebut, “kerentanan lainnya” menampung kerentanan yang tidak terkait dengan kerusakan memori. Perusahaan menerapkan pendekatan yang “lebih deterministik”. Sekarang ada tiga kategori berdasarkan kualitas laporan dan dampak kerentanan terhadap pengguna. Ada “Dampak rendah”, “Dampak sedang”, dan “Dampak tinggi”. Skema pembayaran baru untuk bagian ini adalah sebagai berikut:
Pembayaran untuk kerentanan MiraclePtr meningkat secara signifikan
Akhirnya, perubahan telah dilakukan pada sistem penghargaan untuk kerentanan berdasarkan MiraclePtr. Di Chrome, terdapat kerentanan Use-After-Free (UAF) yang pada dasarnya mengakibatkan penggunaan memori dinamis yang berlebihan atau tidak tepat. Anda mungkin pernah mendengar betapa “rakusnya” Chrome dalam hal memori, dan ini adalah salah satu alasannya. Dalam beberapa tahun terakhir, Google telah banyak mengurangi masalah terkait. MiraclePtr adalah salah satu tindakan yang diambil oleh raksasa Mountain View. Proyek MiraclePtr pada dasarnya mencegah UAF menyebabkan risiko keamanan atau kebocoran memori.
Sebelumnya, hadiah maksimum untuk menemukan kerentanan MiraclePtr adalah $100.115. Kini, perusahaan menaikkan angka ini menjadi $250.128. Ditambah lagi, perusahaan tidak lagi melabeli kerentanan yang ada dalam proses non-renderer sebagai “bug keamanan.” Pada dasarnya, seiring meningkatnya kesulitan, hadiahnya pun meningkat.
