Növeli a tétet a Google

A Google 2010-ben jelentette be, hogy a Chrome böngészője - illetve a Chromium projekt - kapcsán egy jutalmazási rendszert vezet be, melynek keretében azon biztonsági kutatókat díjazza, akik komoly kockázatokat rejtő biztonsági résekről számolnak be a fejlesztőknek. A pénzjutalom odaítélésének legfontosabb feltétele, hogy olyan sebezhetőségekről szóló információk kerüljenek első kézből a Google-höz, amiket korábban még senki sem publikált. A legveszélyesebb sérülékenységek kezdetben 1337 dollárt értek, azonban ezt az összeget a Google később - a Mozilla-val folytatott "versengés" hatására - megemelte 3133,70 dollárra.

A vállalat eddig körülbelül 1100 biztonsági problémáról kapott bejelentést, amelyek azonban nemcsak a Chrome böngészőt, hanem egyéb webes alkalmazásait és szolgáltatásait is érintették. A több mint ezer sebezhetőség közül végül 730-at díjazott a cég kisebb-nagyobb pénzösszegekkel, és 410 ezer dollárt osztott szét több mint kétszáz biztonsági kutató között. Egyes elemzők szerint ez az összeg ugyan soknak tűnhet, azonban vélhetőleg még mindig jóval kevesebb annál, mintha a Google profi, sebezhetőségek felderítésével foglalkozó cégeket bízott volna meg a forráskódjainak rendszeres auditálásával.

"Az eddigi tapasztalataink alapján elmondható, hogy a programunk nagyon sikeres. Minél több hibabejelentést kapunk, annál több javítást tehetünk elérhetővé, ami azt jelenti, hogy a felhasználók számára nagyobb fokú biztonságot tudunk nyújtani" - nyilatkozta Adam Mein, a Google biztonsági csoportjának menedzsere.

A sikereken felbuzdulva a cég úgy határozott, hogy a jutalmazási rendszerét kiterjeszti a Chromium OS-re is. A Google ezt a döntését hosszas mérlegelés után hozta meg, ami abból a szempontból nem meglepő, hogy vélhetőleg jóval nagyobb kiadásokkal kell számolnia. Ennek oka, hogy az operációs rendszere nagyságendekkel nagyobb - linuxos - kódbázisra épül, és számos nyílt forráskódú projekt is szerepet kap a működésében. Ezért nagy valószínűséggel a bejelentett sebezhetőségek száma is meg fog szaporodni. Mein szerint azonban a program kiterjesztésével, és az ilyen módon terebélyesedő közösség révén stabilabbá és biztonságosabbá tudják tenni az operációs rendszert.

Más cégeknek is követniük kellene a példát

A Google úgy véli, hogy más szoftverfejlesztő cégek is hasznot húzhatnának az ilyen jellegű jutalmazási kezdeményezésekből, amik elősegíthetnék a biztonsági kutatók közösségeivel a hatékonyabb kapcsolattartást és a jobb együttműködést. Ezzel a véleménnyel többek között Marius Gabriel Avram, a brit RandomStorm mérnöke is egyetértett, aki szerint az ilyen díjazási programok révén felismerhetővé válhatnak azok a sérülékenységek, melyek elkerülik a fejlesztőcégek programozóinak figyelmét. Avram korábban már a Google, a Facebook, a Twitter és a Mozilla számára is jelzett hibákat különféle jutalmazási programokon keresztül, és úgy látja, hogy mindez elősegíttette a biztonsági problémák gyorsabb kezelését.