A principios del año pasado, Google anunció que recompensaría a todos los que le ayudasen a detectar cualquier fallo de seguridad en Android; una ampliación, en definitiva, del sistema de recompensas que la compañía había lanzado en 2010. Pero, ¿cuánto dinero le cuestan estos incentivos? ¿Merece la pena?
Así, hoy la compañía ha dado a conocer la suma que, durante cinco años, ha supuesto su Security Reward Program: 5,5 millones de euros. La cifra que, a priori, puede parecer abultada, resulta rentable y comporta beneficios para todas las partes. Es decir, tanto para aquellos que los descubren como para el gigante tecnológico. Te explicamos los motivos y analizamos otras grandes entidades que apuestan por iniciativas similares.
El programa de recompensas de Google
En concreto, la compañía estima que en 2015 destinó 2 millones de dólares (unos 1,8 millones de euros al cambio) a premiar a aquellos que encontraron problemas de este tipo –fueron 720 en total-, una suma que no hace más que incitar a los especialistas a reportar esta clase de fallos. Aunque su idea no resulta novedosa, lo cierto es que se trata de una de las más generosas.
De hecho, su sistema de subsidios previos (por adelantado, como una especie de beca) para promover que los investigadores los hallen, llama poderosamente la atención. Sin embargo, parece que este merece la pena; al menos así lo evidenció el caso de Kamil Histamullin que, tras recibir una beca inicial, fue capaz de hallar un problema en YouTube Creator Studio que habría permitido a cualquiera eliminar un vídeo de la plataforma con solo cambiar un parámetro de la URL. Tras resolverse, recibió 5.000 dólares más (4.600 euros, aproximadamente).
Visto su éxito, la multinacional no solo ha ido ampliando su programa –para abarcar mayor cantidad de productos, entre otros-, sino que ha incrementado la cantidad de las recompensas. Sin embargo, el dinero no es lo único que se llevan los que les ayudan –Google también da la opción de donar el doble a una ONG-, sino que hacerlo conlleva un reconocimiento público.
En esta ocasión los de Mountain View han destacado el trabajo de Tomasz Bojarski –el más activo de todos estos buscadores de errores que, además de 70 bugs, llegó a encontrar uno en la herramienta que servía para informar de las vulnerabilidades-, y de Sanmay Ved –que consiguió hacerse con el dominio de Google durante un minuto-. Por otra parte, Google patrocina eventos como el Mobile Pwn2Own, un concurso con fines similares estrenado en 2007.
Otras compañías con sistemas parecidos
Como apuntábamos al inicio de nuestro artículo, la compañía que nos ocupa no es la única que dispone de un programa de recompensas, sino que Microsoft, Facebook, Mozilla, Tesla, Apple y otras empresas de tamaño reducido tienen el suyo propio. ¿Las razones? Que, a medio y largo plazo, los también conocidos como Bug Bounty Programs resultan beneficiosos.
La red de Zuckerberg, por ejemplo, igualó en 2014 las recompensas de Google, llegando al millón y medio de dólares (1, 3 millones de euros al cambio), unas “donaciones” que fueron a parar a manos de hasta 687 desarrolladores que descubrieron fallos en la comunidad virtual. Además, la plataforma puso a su disposición tarjetas de débito personalizadas que pueden ser recargadas cada vez que revelan nuevos errores.
En junio del año pasado año, asimismo, ING Direct se convirtió en el primer banco en España en ofrecer un programa de recompensas por descubrir vulnerabilidades (Responsible Disclosure); un mes en el que la compañía de seguridad AVG también decidió lanzar el suyo. F-Secure, otra parecida, lo hizo este último noviembre. Durante el 2016, se espera que incluso The Tor Project cree un sistema parecido del que ya te hablamos en otros artículos.
Los orígenes y virtudes de esta clase de programas
Al margen de lo dicho, los orígenes de esta clase de programas se remontan hasta octubre de 1995, cuando Netscape decidió anunciar el primero de ellos. Sin embargo, hubo que esperar hasta el 2002 para que empezaran a calar. Lo logró iDefense (más tarde comprada por Verising) ofreciendo 400 dólares por detectar problemas de software. Dos años después Mozilla hizo lo propio y subió la cifra 100 dólares más.
Desde entonces estos no han dejado de proliferar y crecer, algo que no sorprende dadas sus virtudes. De hecho, los expertos consideran que los Bug Bounty Programs suponen un incentivo, una motivación para los desarrolladores. En el caso de las empresas pequeñas, resultan tremendamente útiles a la hora de conseguir que muchos de ellos se fijen en un nuevo producto en un periodo de tiempo muy corto.
También es una forma de obtener publicidad y ganar relevancia por parte de la marca interesada, un modo de divulgarlo, etcétera. En definitiva, una manera de estimular a una comunidad externa a la compañía y de ganar visibilidad respecto a la seguridad de sus aplicaciones. Obviamente, el mayor de los beneficios es que estAs reducen sus errores, con las consiguientes ventajas para el consumidor final que eso supone.
Imágenes | Pixabay
En Genbeta | Tor prepara un programa de incentivos que premiará a aquellos que encuentren "bugs"
