Googleは、YouTube、Blogger、Gmail、Google.comといったGoogleの主要ウェブアプリケーションに脆弱性を発見したハッカーに対し、賞金を獲得するチャンスを提供しています。Googleへの侵入に成功したハッカーには、ハッキングの報酬として最大3,133.70ドルが支払われるほか、Googleのクレジットページに名前が掲載されます。
Googleは、スクリプト言語やウェブページへのコード挿入を用いて脆弱性を発見できるハッカーにのみ報酬を与えています。この新プログラムに含まれない攻撃には、Android、Googleデスクトッププログラム（Picasa、Googleデスクトップなど）の脆弱性、分散型サービス拒否（DDoS）、Googleの企業インフラへの攻撃、Googleの検索アルゴリズムの不正操作などがあります。
Googleの新しいセキュリティチャレンジは一般ユーザーに影響を与えることはないはずですが、何が起こっているかを知っておくことは常に重要です。Googleの新しいバグ報奨金プログラムについて知っておくべきことをご紹介します。
どの Google Web アプリケーションが対象になるでしょうか?
Googleによると、「非常に機密性の高い認証済みユーザーデータやアカウントを表示または管理する」あらゆるウェブアプリが標的となる可能性があるとのことです。これには、Gmail、Googleドキュメント、Blogger、YouTubeなど、よく使われる多くのGoogleアプリが含まれる可能性があります。
つまり、私のアカウントがターゲットにされる可能性があるということですか?
いいえ。アプリの脆弱性をテストするために一般ユーザーを攻撃することは禁止されています。Googleはハッカー支援者に対し、「他者のデータにアクセスしようとしてはならない」と指示しています。また、Googleはハッカーによるテストが「いかなる法律にも違反してはならない」と明確に述べています。
自分のアカウントが標的にされていると感じた場合はどうすればいいですか?
Googleのバグ報奨金プログラムが一般ユーザーへの攻撃の増加につながる可能性は極めて低いでしょう。しかしながら、Googleのセキュリティ向上に協力するほど高潔ではないハッカーも存在します。Googleは不正行為を報告するための様々な方法を提供しています。Gmailユーザーは、Gmailウィンドウ内からメッセージをスパムまたはフィッシング詐欺として報告できます。また、Googleドキュメント、Gmail、Google BuzzなどのGoogleウェブアプリにおけるその他の不正行為を報告するためのページも用意されています。
Google はなぜこれを行っているのでしょうか?
Googleは、オープンソースプロジェクトであるウェブブラウザ「Chromium」において、約1年にわたり同様の脆弱性発見プログラムを実施してきました。ハッカーはChromium（Google Chromeブラウザの新コードがテストされているブラウザ）の脆弱性を発見し、その発見に対して賞金とクレジットを獲得できます。このコンセプトは、Mozilla Foundation（Firefoxブラウザの開発元）が実施している同様のプログラムに着想を得ています。
Google の Web アプリはオープンソース ソフトウェアではありませんが、この報奨金プログラムは、より多くの人の目が何かを見れば、欠陥を見つけて改善できる可能性が高くなるというオープンソース プロジェクトの哲学にも従っています。
最高賞金がなぜ 3,133.70 ドルなのですか?
Googleのウェブアプリの脆弱性を発見したハッカーには、500ドルから3,133.70ドルまでの報奨金が支払われます。最高賞金がなぜこれほど奇妙な金額なのかはGoogleは明らかにしていませんが、Googleは自社の製品やサービスにオタクっぽいジョークを盛り込むことで知られています。例えば、Chromiumの当初の報奨金は1,337ドルで、これはコード体系Leetにちなんで名付けられました。
Leetは文字を数字に置き換え、ユーザー同士が「秘密の」メッセージを送信できるようにします。Leetでは、1337はLEET、31337はELEET（エリート）に相当します。Googleが最高額の懸賞金を3,133.70ドルに設定した理由について、他に何か推測があれば、コメント欄でお知らせください。
結局のところ、Googleのバグバウンティプログラムは一般ユーザーに影響を与えることはなく、むしろ日々利用するGoogle製品のセキュリティを向上させる可能性もある。今年、Googleが中国を拠点とするハッカーによる疑わしい攻撃に対処しなければならなかったことを考えると、これは悪くないアイデアと言えるだろう。
Twitter でIan ( @ianpaul ) とつながりましょう。
