Hacker un Chromebook peut rapporter 100 000 dollars

Google est prêt à délier sa bourse pour toute assistance dans la découverte de failles de sécurité.

Le groupe Internet américain vient de doubler le montant maximal de la prime perceptible par quiconque parviendra à hacker Chrome OS : on parle désormais de 100 000 dollars, soit le plus haut niveau jamais atteint depuis le lancement, il y a six ans, du Chrome Reward Program.

Pour prétendre à cette somme, il y a des conditions. Il faut, en l’occurrence, trouver un moyen de compromettre, de façon persistante, un Chromebook ou une Chromebox, le tout via une page Web, sur une session Invité.

Par « persistante » s’entend le fait que le code doit rester fonctionnel après un redémarrage de la machine. Il est par ailleurs attendu que toute session Invité* ouverte ultérieurement puisse être infectée avec le même niveau de gravité.

Pourquoi avoir relevé la dotation de 50 000 à 100 000 dollars, toute l’année, sans quotas ? D’après Google, « De grandes recherches méritent de grandes récompenses ». Il faut dire que la multinationale n’a enregistré, en un an d’exploitation de ce programme, aucune proposition éligible…

Doit-on y voir un désintérêt des hackers pour Chrome OS ou une simple initiative dans la lignée de celle prise fin 2014 ?

À cette occasion, le montant maximal des primes accordées à ceux qui dénichent des vulnérabilités dans le navigateur Chrome avait été triplé, essentiellement dans l’optique de couper l’herbe sous le pied de ceux qui vendent leurs « exploits ».

On en est aujourd’hui à 4 000 dollars pour une faille pouvant occasionner des fuites de données ; 7 500 dollars pour une vulnérabilité de type XSS ou touchant le moteur de rendu ; 15 000 dollars pour un bogue permettant de passer outre le bac à sable intégré au butineur.

* La session Invité permet de partager un poste sous Chrome OS en ajoutant des utilisateurs permanents ou non. Les cookies et autres données associées au navigateur sont effacées à la fermeture.

Crédit photo : Rrraum – Shutterstock.com