15 minutos. La compañía tecnológica Google alcanzó un récord de US$ 8 millones 700 mil (alrededor de € 7 millones 881 mil) en donaciones para sus Programas de Recompensas de Vulnerabilidad (VRP, por sus siglas en inglés), una posibilidad que ofrece a los investigadores que identifiquen y corrijan vulnerabilidades en su ecosistema.
La compañía señaló en una entrada de su blog, que, gracias a esta colaboración, alcanzó cifras récord en 2021, año en que estos investigadores donaron más de US$ 300 mil (unos € 272 mil) de sus recompensas a una organización benéfica de su elección.
Como viene siendo habitual desde 2015, año en que dieron comienzo estos programas de investigación, Google dio a conocer el total de las aportaciones de este año, que han sido significativamente mayores a las de años precedentes.
Así, en 2021 el total de dólares donados a los usuarios e investigadores que formaron parte de VRP ascendió a US$ 8,7 millones frente a los US$ 6,7 millones que fueron otorgados en 2020.
Una vez determinada la cantidad económica total de recompensas que ha realizado en 2021, Google hizo una comparativa de los resultados obtenidos en los VRP de sus diferentes servicios.
Así, en Android se duplicaron los gastos totales de 2020 en 2021, con casi US$ 3 millones en recompensas, cuyo pago más alto fue de US$ 157 mil -el más grande de su historia- a unos investigadores que advirtieron la cadena de explotación crítica CVE-2021-39698.
Vulnerabilidad en Google
Otros de los investigadores que la compañía destacó en este comunicado han sido Aman Pandey, de Bugsmirror Team, que presentó 232 vulnerabilidades en 2021, y Yu-Cheng Lin, que compartió 128 informes válidos al programa de Android VRP en 2021.
Asimismo, informó de que en 2021 se lanzó un Programa de recompensas de seguridad de chipset de Android (ACSRP), un programa de recompensa por vulnerabilidad ofrecido por Google en colaboración con los fabricantes de estos componentes desarrollados por Android.
Se trata de un proyecto privado al que los interesados solo pueden unirse por invitación, que brinda recompensas y reconocimiento por las contribuciones de sus investigaciones para velar por la seguridad de los dispositivos Android.
En total, el ACSRP pagó más de US$ 296 mil por más de 220 informes de seguridad válidos a estos investigadores.
Errores de seguridad
Por su parte, Chrome VRP también registró cifras récord, ya que 115 investigadores de este programa de vulnerabilidades fueron recompensados por 333 informes únicos de errores de seguridad.
Así, el total de recompensas por estos reportes alcanzó los US$ 3,3 millones, mientras que US$ 3,1 millones se otorgaron por errores de seguridad del navegador Chrome y US$ 250 mil 500 por errores del sistema operativo Chrome.
Entre algunos de los logros que expuso la compañía están el récord de Rory McNamara, un investigador de Chrome OS VRP que se convirtió en el más premiado de toda la historia del programa por su labor durante los últimos 5 años.
Además, destacó el trabajo de Leecraso, investigador de Chrome Browser VRP, que fue quien recibió más premios en 2021, con 18 informes de errores válidos, la mayoría de ellos centrados en las vulnerabilidades de corrupción de memoria que afectan al navegador.
También, la empresa tecnológica destacó que pagó US$ 550 mil en recompensas a más de 60 investigadores de seguridad únicos por el programa de Google Play.
Por último, animó a los interesados a formar parte del programa experimental de subvenciones para la investigación de vulnerabilidades, un sistema de becas destinado a aquellos que deseen analizar detalladamente la seguridad de sus productos y servicios.
6 años después del lanzamiento de esta iniciativa, Google aseguró que en 2021 otorgó más de US$ 200 mil en ayudas destinadas a más de 120 investigadores de seguridad en todo el mundo.
Google Big Hunting Community
La compañía también recordó que el pasado año lanzó Google Bug Hunting Community, un portal de investigación público destinado a mantener los productos de Google (Android, Chrome y Google Play) e Internet seguros y protegidos.
Se trata de una plataforma que abierta con un único formulario de seguridad que permite a los usuarios e investigadores reportar errores de seguridad y ofrece oportunidades de interactivas a través de juegos y tablas de clasificación por país, entre otros.
Aquellos interesados en reforzar su aprendizaje en este aspecto, pueden acceder al contenido disponible Bughunter University, espacio donde se incluyen recomendaciones y trucos para detectar estos problemas.
