Google verenigt bugbountyprogramma’s in nieuw platform

Google introduceert een nieuw platform waarop het al zijn bugbountyprogramma’s verenigt, genaamd Bug Hunters. Met dit initiatief wil de zoekgigant het zoeken naar bugs en kwetsbaarheden stimuleren en zijn diensten veiliger maken.

Google Bug Hunters omvat de bugbountyprogramma’s van Google, Android, Abuse, Chrome en Google Play. Met het nieuwe platform moet het volgens Google eenvoudiger worden om kwetsbaarheden en bugs bij het bedrijf te melden.

De zoekgigant voert verbeteringen toe die het aantrekkelijker maken om op bugs te zoeken en deze vervolgens bij Google te melden. Ook het publiceren van de bugs wordt verbeterd. Er komen op Google Bug Hunters ook nationale leaderboards, awards en badges die het proces leuker en 'gezond competitief' moeten maken. Gebruikers worden via de nieuwe Bug Hunter University ook aangespoord om kennis op te doen over bugs en vervolgens beter te worden.

Google meldt op zijn blogpagina dat het tien jaar geleden zijn eerste bugbountyprogramma introduceerde voor Chromium. Sindsdien heeft het 11 055 bugs opgelost aan de hand van meldingen en werden 2 022 onderzoekers bedankt. In tien jaar tijd werd er meer dan 29 miljoen dollar uitgekeerd.

Reacties (17)

[Robbierut4]

Ik zie een hoop discussie over hoeveel programmeurs je daarvoor in kunt huren en dacht laat ik mijn eigen ervaringen delen.

Ik ben geen programmeur. Wel een iets bovengemiddelde kennis van technologie.
Paar jaar terug een bug gevonden op facebook, gewoon tijdens normaal gebruik. Dit heb ik ingestuurd naar hun bugbounty program. Uiteindelijk na wat verificaties, testen etc heb ik daar een leuk bedrag aan overgehouden.
In mijn ogen een win-win situatie. Ik kreeg een leuk bedrag voor iets wat ik toevallig vond (en een aantal uur daarna aan verificatie, contact etc). Facebook kreeg een betere website.

Dat is in mijn ogen de essentie van het systeem. De gebruiker krijgt een extratje, het bedrijf betere software.
Ik neem namelijk aan dat al die platformen ook gewoon testers in dienst hebben etc. Maar dat zijn ook gewoon mensen, die zijn ook niet perfect.

[_Thanatos_]

Je slaat de spijker precies op z'n kop. Zowel programmeurs als testers zijn geen gebruikers. Gebruikers gebruiken de site echt, en zien dingen die geen van de programmeurs ooit te zien zou kunnen krijgen, testers idem dito.

Een programmeur levert een userstory op, en draagt het over aan de tester. De tester test af of het klopt met de acceptatiecriteria, en zo ja, klaar. M.a.w., dat iets exact gemaakt is zoals de bedoeling is, wil niet zeggen dat het foutloos werkt. Of dat het niets breekt wat eerder goed werkte.

Automatische tests kunnen dan nog wel dingen afvangen, waarmee een tester pro-actief bugs kan inschieten, maar een automatische test is nooit 100% dekkend. Alleen de grootste bedrijven doen misschien aan continu usertesting, maar ook die users krijgen vaak gerichte opdrachten om features te testen.

Een échte gebruiker kan de website dus andere manier gebruiken, die niet altijd afgetest hoeft te zijn.

[Iblies]

29mln/11055 ~ $2623 per foutje .

Een beetje programmeur kost je $100k per werkplek per jaar,
met dat geld zou je ongeveer 29 programmeurs per jaar hebben.


Zouden die 29 programmeurs jaarlijks +1k aan fouten uit de software vissen 🧐


Het is een aardig bedrag maar het mag wel een onsje meer zijn. Nu zero-days steeds meer waard worden lijkt het me verstandiger dat de mensen die dit in de vrije tijd doen naar waarde worden in geschat en minimaal wat een beetje programmeur zou verdienen bij elkaar kunnen sprokkelen ongeacht land van afkomst.
Iemand uit Mexico of Filipijnen kan met gemak hetzelfde aanbieden en instellingen plat gaan leggen terwijl de opbrengsten zoveel meer zijn.

[CreatiXx]

Maar wat jij doet is een gemiddelde nemen wat het hele beeld uit proportie haalt. Bij mij weten worden bug bounties altijd uit betaald naar aanleiding van het kritieke niveau van de bug of issue. Kan me best voorstellen dat ze veel low level zaken binnen krijgen die “handig zijn om weten”

[Kees]

Er zullen ongetwijfeld genoeg zaken zijn die heel lastig te exploiten zijn, want als het makkelijk te exploiten is kun je als bounty-hunter zomaar een tienvoud van de bounty krijgen als je het aan een partij als zerodium of de NSO-group verkoopt.

Een persistent zero-click exploit op Android kan je bijvoorbeeld 2,5 miljoen opleveren bij zerodium.

[Reactie gewijzigd door Kees op 23 juli 2024 22:03]

[Bor]

Schat je het gemiddelde inkomen van een programmeur niet wat hoog in? Gemiddeld is dat volgens oa. indeed € 3.483 per maand. Dat zit niet in de buurt van 100K per jaar.

[TwistedMindNL]

In de States liggen de lonen een stuk hoger $100-150k is daar een normalere range.

https://www.daxx.com/blog...eer-salary-silicon-valley

[Mayonaise]

Dat komt vooral omdat de huizenmarkt in San Francisco de hoogte in wordt gejaagd door de massa developers van Silicon Valley, en daarop terug vragen ze een hogere loon om in de buurt te kunnen wonen.

Een developer in Amerika die in een kleinere stad gaat werken, verdient een pak minder dan 150k per jaar. In de range van 45k tot 65k per jaar.

[Reactie gewijzigd door Mayonaise op 23 juli 2024 22:03]

[sampoo]

Ze betalen niet enkel meer omwille van de huizenprijzen, maar vooral ook omdat bedrijven in Silicon Valley de betere programmeurs aan willen en vaak weten aan te trekken. Een bedrijf kan niet weg komen met 100k per jaar meer betalen als ze net zo goed 50k kunnen betalen in een kleinere stad. Daar moet iets tegenover staan.

[Reactie gewijzigd door sampoo op 23 juli 2024 22:03]

[Remzi1993]

De lonen liggen hoger, echter zij moeten daar nog belasting over betalen. In NL lijken de lonen lager omdat alles al is ingehouden. Zij hebben daar belasting op gemeente, staat en federaal niveau. Kijk maar met winkelen, ook belasting achteraf. Als je op vakantie gaat naar de VS zal dat even schrikken zijn.

[D11]

Wat een programmeur kost en wat hij krijgt zijn 2 verschillende dingen.

[watercoolertje]

Wat hij verdient en krijgt zijn ook 2 verschillende dingen

[_Thanatos_]

Of zij.

[mbrb]

ik denk dat we hier praten over meer dan bovengemiddeld vaardige IT'ers. Doe die 100K maar keer vijf als je zo'n team wilt bouwen. Daarom is het een hele goede deal voor google...

[watercoolertje]

Ik geloof best dat het een prima deal is maar het lijkt hier alsof iedereen denkt dat het allemaal om zero-days gaat en dus alleen gevonden zou kunnen worden door superduur personeel.

Voor het merendeel van de bugs heb je voornamelijk gezond verstand nodig, en dat zijn verrassend veel mensen die helemaal geen 100k per jaar verdienen maar dat wel hebben...

https://bughunters.google.com/leaderboard/honorable-mentions
Hier al een bug gespot, want die datums kloppen niet

[Reactie gewijzigd door watercoolertje op 23 juli 2024 22:03]

[PageFault]

Als ze zo vaardig zijn, waarom zijn er dan zoveel bugs?

[rko4u]

U praat vermoedelijk over de hackers die je nodig hebt om de software te kraken. Die krijgen inderdaad vaak ietsje meer, maar degenen die get bouwen niet (en dat is nu net waarom deze bugs er in zitten)