El pasado mes de septiembre, Google dio comienzo un concurso denominado como Android Hacking Contest mediante el cual quería animar a los expertos de seguridad a encontrar y reportar vulnerabilidades para su sistema operativo con 3 grandes premios de 200.000, 100.000 y 50.000 dólares para las 3 vulnerabilidades más graves con sus correspondientes exploits.
Este concurso ha estado abierto 6 meses y, tras llegar a su fin, Google ha anunciado que ninguno de los fallos reportados, que no son pocos, ha sido digno de merecer la recompensa, reafirmando así la seguridad del sistema operativo móvil más utilizado en todo el mundo.
Este concurso ha sido controlado principalmente por Google Project Zero, el conocido y polémico grupo de seguridad de la compañía. Este grupo de expertos de seguridad se basaba principalmente en 3 factores para decidir si la vulnerabilidad era digna de optar al premio o no. El primero de los factores, y el más importante simplemente para poder optar a participar, era el nivel de dificultad para poder explotarse, ya que los expertos de seguridad debían explotar un Nexus 6P o Nexus 5X actualizado a la última versión de Android conociendo tan solo el correo y el número de teléfono de la víctima. Además, la víctima solo podría ejecutar la app de Gmail o SMS, nada más.
Aunque varios expertos de seguridad han reportado vulnerabilidades, e incluso exploits parciales, ninguno de ellos ha cumplido con todos los requisitos para poder optar al premio. Además, de paso, Google ha recopilado todas las vulnerabilidades reportadas para solucionarlas, además, sin pagar una recompensa a los participantes, ya que esa era una de las condiciones, motivo por lo que algunos expertos han decidido quedarse sus propias vulnerabilidades para ellos para poder participar en otros concursos con recompensa, por ejemplo, al Bug Bounty clásico.
Algunos usuarios se han quejado de la dificultad de este concurso de Google para un premio máximo de tan solo 200.000 dólares. Otros concursos similares, como, por ejemplo, Zerodium, ofrecen a los participantes recompensas de hasta 200.000 dólares por encontrar simplemente una vulnerabilidad Zero-Day y lanzar un exploit que permita hacer root en el dispositivo.
Google se defiende de estas acusaciones alegando que el año pasado ha pagado un total de 1 millón de dólares en fallos de seguridad para Android. Este concurso ofrecía recompensas muy altas, pero también tenía unos requisitos muy elevados para poder optar al premio. Además, se ha hecho con un número curioso de vulnerabilidades desconocidas de forma gratuita que solucionará en los próximos meses, siendo este, sin duda, uno de los principales secretos de los programas Bug Bounty.
Esta misma semana, Google publicará una nueva ración de parches de Android para los usuarios de dispositivos Nexus la cual solucionará, seguro, alguna de estas vulnerabilidades reportadas, haciendo así que, poco a poco, este sistema operativo sea cada vez más seguro y volviendo a mostrar su poder como sistema operativo.
Fuente: RedesZone
Este concurso ha estado abierto 6 meses y, tras llegar a su fin, Google ha anunciado que ninguno de los fallos reportados, que no son pocos, ha sido digno de merecer la recompensa, reafirmando así la seguridad del sistema operativo móvil más utilizado en todo el mundo.
Este concurso ha sido controlado principalmente por Google Project Zero, el conocido y polémico grupo de seguridad de la compañía. Este grupo de expertos de seguridad se basaba principalmente en 3 factores para decidir si la vulnerabilidad era digna de optar al premio o no. El primero de los factores, y el más importante simplemente para poder optar a participar, era el nivel de dificultad para poder explotarse, ya que los expertos de seguridad debían explotar un Nexus 6P o Nexus 5X actualizado a la última versión de Android conociendo tan solo el correo y el número de teléfono de la víctima. Además, la víctima solo podría ejecutar la app de Gmail o SMS, nada más.
Aunque varios expertos de seguridad han reportado vulnerabilidades, e incluso exploits parciales, ninguno de ellos ha cumplido con todos los requisitos para poder optar al premio. Además, de paso, Google ha recopilado todas las vulnerabilidades reportadas para solucionarlas, además, sin pagar una recompensa a los participantes, ya que esa era una de las condiciones, motivo por lo que algunos expertos han decidido quedarse sus propias vulnerabilidades para ellos para poder participar en otros concursos con recompensa, por ejemplo, al Bug Bounty clásico.
Algunos usuarios se han quejado de la dificultad de este concurso de Google para un premio máximo de tan solo 200.000 dólares. Otros concursos similares, como, por ejemplo, Zerodium, ofrecen a los participantes recompensas de hasta 200.000 dólares por encontrar simplemente una vulnerabilidad Zero-Day y lanzar un exploit que permita hacer root en el dispositivo.
Google se defiende de estas acusaciones alegando que el año pasado ha pagado un total de 1 millón de dólares en fallos de seguridad para Android. Este concurso ofrecía recompensas muy altas, pero también tenía unos requisitos muy elevados para poder optar al premio. Además, se ha hecho con un número curioso de vulnerabilidades desconocidas de forma gratuita que solucionará en los próximos meses, siendo este, sin duda, uno de los principales secretos de los programas Bug Bounty.
Esta misma semana, Google publicará una nueva ración de parches de Android para los usuarios de dispositivos Nexus la cual solucionará, seguro, alguna de estas vulnerabilidades reportadas, haciendo así que, poco a poco, este sistema operativo sea cada vez más seguro y volviendo a mostrar su poder como sistema operativo.
Fuente: RedesZone
Via: blog.segu-info.com.ar
Reviewed by Zion3R
on
12:36
Rating:
