Google vient d'annoncer la fin de son concours Pwnium, qui se déroulait traditionnellement lors de la conférence CanSecWest de Vancouver. Ce concours était destiné aux hackers et chercheurs de sécurité qui pouvaient y démontrer une vulnérabilité du navigateur Google Chrome.

Les découvreurs de failles pouvaient toucher des primes substantielles. En 2013 Mountain Vew avait ainsi octroyé 2,7 millions de dollars et 3,14 millions de dollars en 2013.

Cette année, Google met fin à ce concours, mais cela ne signifie pas que l'entreprise renonce à traquer les bugs dans Chrome, pas plus qu'elle ne renonce à récompenser leurs découvreurs. Au contraire même.

Google déclare vouloir accélérer la découverte des failles de sécurité dans Chrome, et Pwnium présentait un effet pervers pour cela. En effet, les découvreurs de failles gardaient celles-ci secrètes jusqu'au concours, pour conserver leurs chances de gagner une prime. La société de sécurité Vupen, notamment, qui s'est maintes fois illustrées dans ce genre d'épreuves, avait gardé en réserve une faille pendant 3 ans, avant de la démontrer au concours Pwn2Own de 2014. Pour ce qui est de la rapidité à corriger des vulnérabilités, on a vu mieux :-)

Autres problèmes : des candidats de PWwnium ont démontré des failles à partir d'autres failles dévoilées lors de la même session du concours, ce qui fausse les résultats; plusieurs candidats ont démontré la même faille à la même session du concours, qui dans ce cas récompenser ?

Pour mettre fin à tous ces effets de bords indésirables, Google met donc un terme au concours Pwnium sous cette forme, mais ne le supprime pas ! Pwnium n'est plus un événement de quelques jours dans l'année, il devient permanent.

Les hackers et autres geeks doués gardent la possibilité d'empocher de belles primes pour leur découvertes, selon le barème ci-dessous. Si leurs découvertes de failles sont accompagnées d'un correctif, Mountain View peut encore augmenter le montant des primes.