جوجل كافئت شاب بـ 36 ألف دولار لعثوره على ثغرة أمنية خطيرة
كافئت شركة جوجل الطالب ازي كويل بيريرا من الأوروغواي بمبلغ 36000 دولار لعثوره على ثغرة أمنية تسمح له بإجراء تغييرات على أنظمة الشركة الداخلية كجزء من برنامج مكافآت جوجل لمكتشفي الثغرات الأمنية Google Vulnerability Reward Program) VRP)، وهذه هي الثغرة الخامسة الذي يبلغ عنه بيريرا ولكنها الأكثر ربحًا له في هذه الثغرات.
وقال بيريرا لمحطة CNBC الأمريكية أول خلل أمني عثرت عليه بجوجل تم منحي مكافأة قيمتها 500 دولار وشعرت وقتها بتحقيق إنجاز كبير لذلك قررت مواصلة المحاولة منذ ذلك الحين الى عثوري على هذه الثغرة.
على الرغم من أن بيريرا اكتشف هذا الخلل في وقت سابق من هذا العام، إلا أنه حصل على إذن بالكتابة عن كيفية اكتشافه هذا الأسبوع بعد أن أكدت شركة جوجل أنها أصلحت المشكلة ولم تعد لديها اي مشاكل من ناحيتها الان،وقال بيريرا من خلال منشور له عن اكتشاف الثغرة: في أوائل عام 2018 حصلت على حق الوصول إلى بيئة نشر محرك تطبيقات جوجل (Google App Engine) بحيث تمكنت من استخدام واجهات برمجة التطبيقات الداخلية لتنفيذ تعليمات برمجية عن بعد وهي الطريقة التي تعمل بها جوجل، وبعد ذلك بفترة قصيرة لاحظت أن كل تطبيق موجود على محرك تطبيقات جوجل (Google App Engine (GAE قد رد على كل طلب HTTP مع عنوان (X-Cloud-Trace-Context) ، لذلك كان افتراضي ان أي موقع ويب يعرض هذا العنوان ربما يتم تشغيله على محرك تطبيقات جوجل، وبفضل ذلك علمت أن موقع appengine.google.com نفسه يعمل على منصة GAE، ولكن يمكنه تنفيذ بعض الإجراءات التي لا يمكن تنفيذها في أي مكان آخر لذلك حاولت اكتشاف كيف كان بمقدوره تنفيذ هذه الإجراءات. والنتيجة ان محرك تطبيقات جوجل هو عبارة عن منصة حوسبة سحابية لاستضافة وتطوير تطبيقات يتم إدارتها بواسطة مراكز بيانات خاصة بجوجل، ويتيح محرك تطبيقات جوجل تشغيل برامج مخصصة باستخدام العديد من اللغات والمنصات المختلفة وقد تم بناء العديد منها في بيئة جافا. في هذه المرحلة لم يكتشف بيريرا سوى الثغرات الأمنية في نظام جوجل من خلال برنامجها للمكافات،مثل معظم شركات التكنولوجيا الكبرى التي لديها برامج مكافآت خاصة بها لمكتشفي الثغرات. حيث تقول الشركات إنه إذا شجعوا الباحثين الأمنيين على اختبار أنظمتهم من أجل المال فإن ستكون لديهم فرصة أفضل للتخلص من هجمات القراصنة الضارة.
وتحدد جوجل العائد الذي يحصل عليه مكتشف الثغرة على حسب مدى خطورة الثغرة المكتشفة، ما إذا كان يمكن أن تمنح شخصا ما حق الوصول المباشر إلى خوادمها أو التأثير على نظامها، وكيف يمكن أن يكون هناك استغلال محتمل. وقد دفعت 3 مليون دولار إلى 274 باحثًا مختلفًا في العام الماضي وأعلى جائزة يمكن الحصول عليها قدرها 113000 دولار.
والجدير بالذكر ان بيريرا هو طالب في الثامنة عشر من عمره يدرس في جامعة الجمهورية (جامعة عامة في أوروغواي) مهتم بأمن الكمبيوتر، ويقوم بالإبلاغ عن بعض مشكلات الأمان التي تخص شركة جوجل ثم يقوم بنشر تعليق حول كل منها بعد إصلاحها. في عام 2016 نقلته شركة جوجل إلى مقرها الرئيسي في كاليفورنيا بعد فوزه في مسابقة جوجل للبرمجة التي تحمل اسم (Google Code-in (GCI، والآن يحتل بيريرا المرتبة الثانية عشرة في قاعدة مشاهير جوجل.
