Android Security Rewards: Google zahlte bislang 550.000 Dollar für Sicherheitslücken

17 Jun, 2016 von Moritz Krauß

Schriftgröße -16+

Vor rund einem Jahr rief Google das Android Security Reward ins Leben. Damit sollen Sicherheitsexperten motiviert werden, Schwachstellen von Android direkt zu melden und nicht zu veröffentlichen. Außerdem soll vermieden werden, dass die Sicherheitslücken möglicherweise an Hacker verkauft werden. Um einen Anreiz zu bieten, gibt es eine Belohnung. Allein in einem Jahr wurden nun eine halbe Million US-Dollar ausgegeben.

Seit einem Jahr belohnt Google mit Android Security Rewards Sicherheitsexperten, welche Schwachstellen in Android finden. Wenn die Sicherheitsrisiken in einer aktuellen Firmware oder Vorabversion von Android auftauchen und diese über den Bugreporter gemeldet wurden, erhalten die Finder je nach Ausmaß eine Belohnung. Allerdings darf die Schwachstelle erst öffentlich gemacht werden, nachdem diese geschlossen wurde. Scheinbar läuft das Projekt sehr erfolgreich, denn allein in diesem einen Jahr wurden 550.550 US-Dollar an 82 Experten ausbezahlt, welche insgesamt 250 Sicherheitsrisiken entdeckt haben sollen.

Rund eine Hälfte der Risiken traten bei dem Media Server auf, welcher spätestens mit Android N um einiges sicherer werden soll. Mehr als ein Viertel der Schwachstellen betrifft Code, welcher außerhalb des Android Open Source Projects gefunden wurde. Es wurden also auch Risiken behoben, welche vielmehr andere Hersteller betreffen und nicht auf Nexus-Geräte zurückführen. Durchschnittlich erhielten die Finder 2.200 US-Dollar. Peter Pi von Trend Micro war mit 26 Lücken am Erfolgreichsten und kann nun 75.750 US-Dollar sein Eigen nennen. 15 weitere Finder konnten eine Belohnung von 10.000 US-Dollar und mehr absahnen. Dabei sagt Google, dass es keinen Remote Exploit gegeben hat, welcher die höchste Belohnung gegeben hätte.

Zeitgleich lässt es sich Alphabet nicht nehmen, die Belohnungen des Android Security Rewards zu erhöhen. Für schwere Sicherheitslücken, welche zusätzlich gut dokumentiert werden, gibt es jetzt 33 Prozent mehr Geld. Experten dürfen sich hier auf 4.000 US-Dollar freuen. Wenn die Lücken nicht ganz so gravierend sind, gibt es dementsprechend weniger Geld. Am meisten gibt der Konzern für die Kernel- und Remote Exploits aus. Hier wird die Belohnung um 10.000 beziehungsweise 20.000 US-Dollar gesteigert. Wer einen Kernel Exploit findet und meldet bekommt ab sofort 30.000 US-Dollar. Am meisten bekommen die Finder von Remote Exploits: diese Schwachstellen lässt sich Google 50.000 US-Dollar kosten.

Quelle Bild: ymgerman / Shutterstock.com

Schön, dass du da bist. Wir würden uns sehr freuen, wenn du uns als TechnikSurfer Leser deinen Freunden weiterempfehlen und uns auf den sozialen Netzwerken folgen würdest, damit du nichts mehr verpasst. Es lohnt sich - garantiert!