Cómo ganar dinero encontrando problemas de seguridad en las aplicaciones de Android

Si es un desarrollador de aplicaciones de Android que puede detectar problemas de seguridad, puede ganar dinero mostrando su talento a Google. Los piratas informáticos han llevado aplicaciones infectadas con malware a Google Play Store, algunas de las cuales se han descargado millones de veces.

En respuesta, Google lanzó el programa Bug Bounty, que recompensa a los usuarios por detectar vulnerabilidades, lo que permite a los desarrolladores encontrar problemas de seguridad en muchas aplicaciones comunes. Anteriormente, solo se incluían unas pocas aplicaciones. Ahora todas las aplicaciones populares de Play Store son parte del programa. un programa de premios en efectivo para que los desarrolladores detecten e informen problemas de seguridad.

¿Por qué Google creó el programa Bug Bounty?

Google ha tenido un programa Bug Bounty para sus propias aplicaciones durante mucho tiempo. Como muchas empresas, Google recompensa a los desarrolladores por encontrar problemas en sus sitios web. También otorga recompensas por encontrar errores en su navegador Chrome o sistema operativo Chrome. Pero Google ha dado un salto recientemente al ofrecer recompensas por los errores encontrados en las aplicaciones de muchas otras empresas.

El primer paso del programa Bug Bounty en Play Store solo se aplica a una cantidad muy pequeña de aplicaciones principales. Google ahora ha ampliado el programa para cubrir todas las aplicaciones de Play Store con más de 100 millones de instalaciones. Esto significa que es más probable que los cazadores de errores encuentren problemas en la aplicación Play Store y sean recompensados ​​por informarlos, incluso si el desarrollador de la aplicación no publica programas de errores. Premio propio.

Google dijo que lanzó el programa con la esperanza de alentar a la comunidad a unirse para mejorar la seguridad para todos. Es por eso que Google alienta a los cazadores de errores a detectar problemas y reportarlos a los desarrolladores de aplicaciones y también a Google. Esto permite a los desarrolladores de aplicaciones raíz corregir rápidamente los errores. Y eso significa una mejor seguridad para todos los usuarios de aplicaciones de Android.

¿Cómo participo en el programa Bug Bounty?

El programa Bug Bounty en Play Store se llama Programa de recompensas de seguridad de Google Play (GPSRP) . Google invita a investigadores de seguridad y desarrolladores de aplicaciones a participar. El primer paso es completar un formulario de solicitud para unirse al programa. Puede buscar problemas de seguridad en cualquier aplicación elegible en Play Store una vez que haya sido aprobado.

Hay 3 tipos de vulnerabilidades que los participantes están buscando. En primer lugar, las vulnerabilidades de ejecución remota de código (ejecución remota de código) son vulnerabilidades que permiten a los piratas informáticos obtener acceso al dispositivo de un usuario y realizar cambios. Estos son problemas de seguridad muy serios.

El segundo es el tema de la confidencialidad de los datos no confidenciales, aquí es donde la vulnerabilidad permite a los hackers robar información personal como información de inicio de sesión, historial web o listas de contactos.

El tercero es el acceso a componentes de aplicaciones protegidas. Esto se aplica a las aplicaciones que realizan funciones para las que no están autorizados. Por ejemplo, una aplicación envía mensajes SMS incluso si la aplicación no tiene el permiso del usuario.

El programa no incluye algunos problemas de seguridad. Por ejemplo, los ataques de phishing, aunque potencialmente muy peligrosos, no califican para el programa. La razón es que funcionan engañando a los usuarios, no ejecutando código malicioso. El programa tampoco incluye ataques que requieran acceso físico al dispositivo.

Cuando encuentre un error, debe comunicarse con el desarrollador de la aplicación para notificarle. A continuación, puede trabajar con este desarrollador para solucionar el problema. Una vez que se haya eliminado la vulnerabilidad, puede reclamar una recompensa monetaria de Google.

Obtenga bonificaciones por detectar el abuso de datos desde la propia aplicación

Google no solo recompensa por encontrar errores de seguridad. La compañía también está tratando de "romper" las aplicaciones, robar datos de los usuarios. La empresa lanzó recientemente Programa de premios de protección de datos para desarrolladores (DDPRP) que proporciona recompensas similares para los desarrolladores que detectan un uso indebido de los datos de la aplicación.

Los tipos de abuso de datos que busca el programa son aplicaciones que recopilan y venden datos de usuarios de una manera que viola la política de privacidad de Google. Por ejemplo, podría ser una aplicación que recopila datos de los libros de contactos de los usuarios, como metadatos, mostrando quién, cuándo y cuándo llamaron sin estar protegidos como datos confidenciales.

El programa también incluirá aplicaciones que violen las reglas de permisos, como aplicaciones con acceso a SMS, pero las usará para recopilar datos sobre los usuarios de SMS y venderlos a terceros. También incluye una aplicación que requiere acceso a datos de contacto y luego reutilizar esos datos para una aplicación no relacionada.

Para obtener detalles más detallados sobre los tipos de uso indebido de datos elegibles para el programa, puede consultar el sitio web de DDPRP. Al igual que con el programa Bug Bounty, califican todas las aplicaciones en Play Store con más de 100 millones de instalaciones.

¿Cuáles son las recompensas por encontrar errores específicos?

Se proporciona un premio en efectivo tanto en el programa de detección de errores como en el de abuso de datos. La cantidad pagada por cada informe depende de la gravedad del problema. También depende de la calidad del informe enviado a Google.

Los premios del Programa de recompensas de seguridad de Google Play varían de $ 5,000 a $ 20,000 por errores de ejecución remota de código, $ 1,000 a $ 3,000 por errores de privacidad no seguros y $ 1,000 a $ 3,000 por errores de privacidad de acceso. Parte de la aplicación está protegida. Además, hay recompensas para los desarrolladores de aplicaciones por detectar vulnerabilidades de manera responsable. Esto les permite solucionar el problema.

Los premios para el Programa de premios de protección de datos para desarrolladores oscilan entre $ 100 y $ 1,000. Para recibir el premio, debe enviar un informe. Debe escribir información sobre qué reglas de datos se han violado, cómo se han utilizado indebidamente los datos y una lista de la cantidad de veces que la aplicación ha violado las reglas.

Los programas de recopilación y depuración de datos de Google le permiten ganar dinero. También les permiten trabajar juntos para mejorar la seguridad de las aplicaciones distribuidas a través de Play Store. Si está interesado en más opciones de depuración, también puede explorar los programas de otras compañías.

¡Buena suerte!