Chasse aux bugs sur Android : Google a reversé un demi-million de dollars

Il y a tout juste un an, Google ouvrait son programme de chasse aux bugs sur Android. La société annonce avoir déjà reversé 550 000 de dollars aux experts en sécurité.

En juin 2015, Google avait décidé d'étendre son programme de récompenses. Ainsi en plus de Chrome et de Chorme OS, les chercheurs spécialisés dans la découverte de vulnérabilités pouvaient passer au crible le système Android.

Un an plus tard, la société fait le point et affirme avoir reversé 550 000 dollars à 82 personnes, soit en moyenne 6 700 dollars par chercheur. C'est l'expert chinois Peter Pi qui remporte la palme. L'homme a obtenu 75 750 dollars pour avoir découverte 26 vulnérabilités jugées valides.

Une quinzaine de chercheurs a obtenu au moins 10 000 dollars de récompenses pour leurs découvertes mais Google précise qu'aucune faille n'a été décelée dans la Trustzone ou au niveau de l'amorce sécurisée.



Pour mémoire, la société expliquait que les vulnérabilités prises en compte devaient être identifiées au sein du code de l'AOSP (Android open source Project), celui des OEM (pilotes et bibliothèques logicielles) celui du kernel ainsi que du code des modules. Les failles présentes au sein des firmwares des puces pourront éventuellement être prises en charge si elles affectent le système.

Google explique avoir revu à la hausse les récompenses. La société reversera 30 000 dollars si un exploit affecte le TrustZone (contre 20 000 jusqu'à présent) et 50 000 dollars si l'amorce du système est mise en cause (contre 30 000 auparavant).