Android | Security Rewards Program

El programa Android Security Rewards reconoce las contribuciones de los investigadores de seguridad que invierten su tiempo y esfuerzo en ayudarnos a hacer Android más seguro. A través de este programa proporcionamos recompensas económicas y reconocimiento público por vulnerabilidades reveladas al equipo de seguridad de Android. La cuantía de la recompensa se basa en la gravedad del error y aumenta para los informes completos que incluyen código de reproducción, casos de prueba y parches para solución.


Alcance del Programa

Este programa cubre las vulnerabilidades de seguridad descubiertas en las últimas versiones disponibles de Android para teléfonos Pixel y tabletas. Este conjunto de dispositivos cambiará con el tiempo, pero a partir del 1 de noviembre de 2019 quedan dentro del alcance:

Android Security Rewards cubre errores en el código que se ejecuta en dispositivos elegibles y no está cubierto por otros programas de recompensas en Google. Los errores elegibles incluyen los del código AOSP (Android Open Source Project), el código OEM (Original Equipment Manufacturer) como librerías y drivers, el kernel, el código Secure Element y TrustZone OS y los módulos. Las vulnerabilidades en otro código que no sea Android, como el código que se ejecuta en chipset firmware, pueden ser elegibles si afectan a la seguridad de Android OS.

Las aplicaciones desarrolladas por Google y publicadas en Google Play que no son AOSP pueden estar cubiertas por Google VRP, que también incluye vulnerabilidades del lado del servidor.

Las vulnerabilidades que afectan a otros dispositivos de Google (como Android Wear o Project Tango) no son elegibles para Android Security Rewards.

Recompensaremos extra por una sucesión de vulnerabilidades completa (normalmente múltiples vulnerabilidades encadenadas) que demuestra la ejecución de código arbitrario, la filtración de datos o un bypass de bloqueo de pantalla.

Todos los errores deben ser reportados usando la plantilla de errores de seguridad de Android.

Los envíos se pueden enviar directamente a security@android.com (aunque los envíos a través de este canal normalmente no son elegibles para pagos de recompensas). Los mensajes enviados a esta cuenta se pueden cifrar mediante la clave pública PGP de seguridad de Android.


Vulnerabilidades que califican para una recompensa:

En general, recompensaremos vulnerabilidades críticas, altas, moderadas y de baja gravedad. Por lo general, no asignaremos CVE para el nivel más bajo de gravedad.

Los parches que no necesariamente corrigen una vulnerabilidad pero proporcionan un hardening adicional pueden calificar para Google Patch Rewards.


Vulnerabilidades que no califican:

Las siguientes vulnerabilidades generalmente no calificarán para una recompensa:

  • Ataques que requieren una interacción compleja del usuario. Por ejemplo, si la vulnerabilidad requiere la instalación de una aplicación y, a continuación, esperar a que un usuario realice un cambio de configuración poco probable.
  • Ataques de phishing que implican engañar al usuario para que introduzca las credenciales.
  • Errores que solo afectan a las userdebug builds.
  • Bugs que simplemente hacen que una aplicación se bloquee
  • Problemas con un impacto de seguridad insignificante, como se describe en Bug Hunter University, con algunas excepciones.