Android 安全奖一年回顾（android安全工程师）

一年前，我们为持续多年的 Google 漏洞奖励计划增设了 Android 安全奖。对于我们采纳并据此修复漏洞、为 Android 用户提供保护的每个报告，我们最多提供了高达 38,000 美元的奖金。

自那以后，我们从"猎人"那里收到了 250 多份合格的漏洞报告，这些报告帮助提升了 Android 和移动的安全性。所报告的漏洞有逾三分之一发生在 Media Server 中，这些漏洞在 Android N 中得以加固，这使得新系统能够更好地防止这些漏洞遭到利用。

尽管本计划的重点是 Nexus 设备，其主要目标是提高 Android 的安全性，但所报告的问题中有逾四分之一发生在 Android 开源项目外部开发和使用的代码中。修复这些内核和设备驱动程序缺陷有助于提升更广阔的移动行业（甚至是某些非移动平台）的安全性。

用数字说话

下面是 Android 漏洞奖励计划第一年的简要概况：

• 我们为 82 名“猎人”支付的奖金超过 55 万美元。平均每笔奖金为 2,200 美元，每名"猎人"获得奖金 6,700 美元。

• 我们为我们的顶级"猎人" @heisecode 支付了 75,750 美元，感谢其提交了 26 个漏洞报告。

• 我们为 15 名"猎人"支付了不少于 10,000 美元的奖金。

• 无人能够凭借建立完整的远程攻击链侵入 TrustZone 或 Verified Boot 而领取最高奖项。

感谢去年向我们提交高质量漏洞报告的"猎人"。

对 Android 漏洞奖励计划的改进

我们不断努力完善该计划，目前，我们正在进行一些修改，这些改动适用于 2016 年 6 月 1 日之后提交的所有漏洞报告。

我们打算付出更多！

• 现在，对于提供概念验证的高质量漏洞报告，我们将增加 33% 的奖金。例如，对于提供概念验证的关键漏洞报告，奖金从 3000 美元增加到 4000 美元。

• 对于提供概念验证、CTS 测试或修补程序的高质量漏洞报告，将会额外增加 50% 的奖励。

• 对于远程或近端内核攻击，我们的奖金从 2 万美元增加到 3 万美元。

• 对于侵入 TrustZone 或 Verified Boot 的远程攻击链或攻击，奖金从 3 万美元增加到 5 万美元。

该计划的所有改动以及补充条款在我们的计划规则中均有详细的解释。如有兴趣帮助我们发现安全漏洞，请访问缺陷猎手大学，学习如何提交高质量的漏洞报告。请记住：报告质量越高，您获得的奖金也就越多。我们最近还更新了我们的安全性级别，因此，亦请务必查阅这些更新。

查看计划规则，请访问：
www.google.com/about/appsecurity/android-rewards

查看缺陷猎手大学，请访问：
sites.google.com/site/bughunteruniversity/

查看安全性级别更新，请访问：
source.android.com/security/overview/updates-resources.html

感谢帮助我们提升 Android 安全性的每一位同仁。让我们一起大力投入安全研究，令 Android 变得更强大。我们只是刚刚起步，我们期待在未来能够做得更多。

搜索"谷歌开发者"微信公众号加关注，

Google 官方公众号，查阅更多谷歌工程师撰写的开发技术、应用发布与变现的最佳实践！