Google, bulut güvenlik açıkları için 250.000 dolarlık ödül açtı

Google, tam yönetici yetkisi sağlayabilecek açıklar için en yüksek ödülü 250.000 dolara çıkardı; Borg'a kod çalıştıran araştırmacıların uyması gereken kurallar da netleşti.

Google, Cloud Vulnerability Reward Program kapsamına en üst kademede 250.000 dolarlık yeni bir ödül ekledi. Ödül, herhangi bir Google Cloud kuruluşu ya da projesi üzerinde tam yönetici kontrolü sağlayabilecek güvenlik açıkları için veriliyor.

Bir açığın ödül kapsamına girebilmesi için mevcut bir proje erişimine, ele geçirilmiş kimlik bilgilerine ya da kullanıcının etkileşimine ve sosyal mühendisliğe dayanmaması gerekiyor. Şirketin üretim altyapısı Borg içinde uzaktan kod çalıştırma da incelemeye alınıyor. Borg'da kod çalıştırmayı başaran araştırmacılar tüm araştırmayı hemen durdurmak zorunda; yetki yükseltemez, üretim kimlik bilgilerini çıkaramaz ve sistemde yatay hareket edemez. Aksi halde diskalifiye ediliyorlar.

Google, bir gönderimi, herhangi bir kiracı ya da proje üzerinde tam ve keyfi ele geçirmenin mümkün olduğunu gösteriyorsa ödüllendirecek. Bunu kanıtlamak için belirlenmiş bir hizmet hesabı tanımlandı; araştırmacılar gerçek müşteri projelerine dokunmadan yetkisiz erişimi ispatlayabilecek. Program yöneticisi, ilk kez katılan araştırmacıların kendi sezgilerini yapay zeka araçlarıyla birleştirerek, iki yıl öncesine göre daha ilginç açıklar bulduğunu söyledi.