O Google anunciou na última quarta-feira (9) que pretende premiar os desenvolvedores que ajudarem em melhorias de segurança para alguns dos programas de software de código aberto mais utilizados.
O programa tem como objetivo “melhorar a segurança de softwares terceiros fundamentais para a saúde de toda a Internet”, escreveu Michal Zalewski da equipe de segurança do Google. As recompensas variam entre US$ 500 e US$ 3.133,70.
O Google foi contra criar um mero programa de recompensas para códigos open-source.
“Em suma, decidimos tentar algo novo”, diz a descrição do programa do Google. “Algumas vulnerabilidades remontam a erros de codificação evitáveis, ou são mais fáceis de explorar devido à ausência de técnicas de mitigação simples. Nós esperamos resolver isso de alguma maneira.”
O tipo de resultado que o Google procura inclui correções envolvendo a separação de privilégios, alocador de memória, limpeza de aritmética de inteiros, e correções para race conditions, de acordo com as regras do programa.
Projetos de software de código aberto geralmente são mantidos por voluntários não remunerados – embora algumas companhias que desenvolvem negócios com software open-source tenham funcionários integrais que contribuem com códigos.
O programa do Google acrescenta um incentivo financeiro para o que de outra forma aconteceria por um trabalho não remunerado, feito por pura dedicação.
A gigante das buscas já tem o seu próprio programa de recompensas de vulnerabilidades – mas ele só se aplica a seus próprios produtos.
A empresa escolheu vários dos programas open-source mais utilizados e bibliotecas de código usadas em redes, análise de imagem e segurança. Seria difícil encontrar uma empresa ou organização que não utiliza algum dos programas open-source e ferramentas escolhidos pelo Google.
Os programas elegíveis incluem OpenSSH, OpenSSL, BIND e analisadores de imagem como libjpeg e libpng. Outros incluem componentes comuns do kernel do Linux, como o Kernel Based Virtual Machine, bem como as fundações open-source do Google Chrome, incluindo o navegador Chromium e o Blink – um mecanismo (“engine”) de processamento e exibição de páginas usado pelo navegador.
Em algum momento o Google irá estender o programa para servidores web como o Apache e Nginx, para serviços SMTP como Sendmail e o Postfix e software VPN, como OpenVPN, dentre outros, escreveu Zalewski.
As correções e melhorias devem ser enviadas diretamente aos gestores do projeto. Se o código for aceito e implantado em um repositório do projeto, os responsáveis devem enviar mais detalhes para security-patches@google.com.
Site: IDG Now!
Data: 10/10/2013
Hora: 14h51
Seção: Internet
Autor: Jeremy Kirk
Link: http://idgnow.uol.com.br/internet/2013/10/10/google-paga-recompensa-para-correcoes-de-seguranca-em-apps-open-source/