グーグル、バグ報奨金プログラムを新設–オープンソースソフトウェアを対象

今回は「グーグル、バグ報奨金プログラムを新設–オープンソースソフトウェアを対象」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Googleは米国時間8月30日、オープンソースソフトウェアに対象を絞ったバグ報奨金プログラム「Open Source Software Vulnerability Rewards Program」(OSS VRP)を新たに立ち上げたと同社ブログで発表した。報奨金は、発見された脆弱性の深刻度に応じて約100ドル(約1万4000円)から3万1000ドル(約430万円)が支払われる。

 この新プログラムは、ソフトウェアコミュニティーが直面している大きな問題、すなわち急増しているサプライチェーンのセキュリティ侵害に取り組むものだ。Googleは、ソフトウェア企業Sonatypeのレポートを引用し、オープンソースのサプライチェーンを標的とする攻撃が2021年に前年同期比650%増になったと記している。2021年12月に発見された「Apache Log4j」の深刻な脆弱性のように、たった1つの脆弱性であっても甚大な被害がもたらされかねない。

 同プログラムはバグハンターらに対し、GitHub上でGoogleが所有しているプロジェクト(GoogleやGoogleAPIs、GoogleCloudPlatformなど)のパブリックリポジトリー内に保管されているオープンソースソフトウェア(リポジトリー設定を含む)の最新バージョンに潜む問題を探し出すよう促している。また同プログラムは、これらのプロジェクトのサードパーティーに対する依存性も対象とするという。

 高額の報奨金は、Googleがメンテナーとなっている「Bazel」や「Angular」「Golang」「Protocol Buffers」「Fuchsia」といった、重要性の極めて高いプロジェクトの脆弱性を発見した人に与えられる。また同社は、製品の脆弱性につながる設計上の欠陥や、認証情報の流出のようなセキュリティ上の懸念を含む、サプライチェーンに大きな影響を与える可能性がある問題を見つけ出すよう、バグハンターらに奨励している。

 報奨金は、脆弱性の深刻度とプロジェクトの重要性に従って、101ドル(約1万4000円)〜3万1337ドル(約434万円)となっている。Googleは同ブログに「めったに見かけないほど巧妙、あるいは深刻な脆弱性に対しても、より多くの報奨金が支払われる」と記している。

 OSS VRPの報奨金は、Googleが米国のサイバーセキュリティ分野に対して支払う100億ドル(約1兆3800億円)の中から賄われる。Googleによるこの資金供与の約束は、2021年のホワイトハウスでの会談でJoe Biden大統領が、オープンソースソフトウェアの潜在的脆弱性は国家安全保障上の懸念であると強調したことを受けたものだ。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
Twitter、リプライ相手制限をツイート後でも変更可能に
アプリ・Web
2021-07-15 13:22
マネーフォワード、自社法人用資金管理サービスとクレジットカードとの連携を開始
IT関連
2022-04-05 10:29
Apple、「人種の公平性と正義」の大規模プロジェクト開始 BLM運動に呼応し教育施設、VC資金提供
社会とIT
2021-01-16 06:27
ファン内蔵テック系マスクの真価は? Philips「ブリーズマスク」を2週間使ってみた (1/2 ページ)
くわしく
2021-02-15 15:43
グーグル、フルマネージドのKubernetesを「GKE Autopilot」で提供
IT関連
2021-02-25 07:39
Android 12 Betaに「表情で操作」機能 目線や口の動きがスクロールや選択に
企業・業界動向
2021-08-18 13:16
IT人材が不足する日本でDXをどう進めるか–官民学のトップが議論
IT関連
2021-06-03 17:49
7割が「ハイブリッドワークでスキルが向上した」と回答–コンカー社内調査
IT関連
2022-06-02 20:29
マルチクラウドの導入進む、AWSとMicrosoft Azureの差は?–Flexeraレポート
IT関連
2021-03-16 19:25
LINE PayでVisaタッチ決済可能に、「Google Pay」対応でLINEアプリの起動不要
フィンテック
2021-02-05 10:45
アカマイ、「世界で最も分散されたクラウド」としてエッジコンピューティングに注力
IT関連
2022-03-03 17:05
福島銀行、AIの実務導入でデジタルシフトを加速
IT関連
2021-07-08 11:02
データ侵害が2020年に急増、「サイバーセキュリティを最優先に」–Canalys
IT関連
2021-03-31 02:29
Relativity Spaceが完全再利用可能な新しい大型ロケットの建造計画を発表
宇宙
2021-02-28 15:42