Décidemment, les dénicheurs de bugs sont bien lotis en ce moment. Après Mozilla, c’est au tour de Google d’augmenter la récompense pour découverte de bug ou faille de sécurité sous Chrome.

Lundi, nous avons vu dans cet article que Mozilla augmentait la prime de découverte d’une faille critique de 500 dollars à 3000 dollars.

Google n’a pas tardé à répliquer. Son programme Chromium Security Reward en place depuis 6 mois évolue et récompense de 3133.70 dollars les chercheurs qui découvrent un bug, contre 1337 dollars auparavant.

Pourquoi une somme aussi étrange que 3133.7 ? Il s’agit tout simplement d’un clin d’œil car ce nombre en caractères ASCII se traduit par Eleet qui quand on le prononce revient à Elite.

La firme de MountainView explique qu’elle a augmenté la prime maximale de découverte d’un bug/faille en raison d’une complexité accrue pour les dénicher du fait de la sandbox.

Pour toucher cette somme de 3133.7 dollars, qui est le montant maximal que Google attribue dans le cadre de son programme, il est nécessaire de dénicher une faille de sécurité critique comme détaillé sur cette page. La prime de base reste elle fixée à 500 dollars.

Dans le même temps, Google annonce une nouvelle politique de divulgation des failles trouvées, afin d’obliger les sociétés de logiciels à corriger au plus vite les failles de sécurités présentes dans leurs programmes.

Ainsi, Google enjoint ceux qui découvrent une faille à communiquer une date de divulgation avec un délai corrélé à la complexité du fix. Si un patch n’est pas trouvé après la date indiquée, les chercheurs devraient publier une analyse de la vulnérabilité et suggérer des solutions de contournement.

En France, le fait de divulguer au grand public une faille de sécurité peut être considéré par la loi comme une incitation au piratage…

[Source : Google]

Recommander cet article !