Polityka odpowiedzialnego ujawniania

Usługa, która przenosi pieniądze, zawsze w końcu zostanie przetestowana, przez osoby o dobrych intencjach lub nie. Wolelibyśmy dowiedzieć się o wadzie z raportu niż z incydentu i zobowiązujemy się nie ścigać nikogo za badania prowadzone w dobrej wierze w zakresie opisanym tutaj.

Na tym etapie nie jest oferowana żadna nagroda finansowa. Nie ogłaszamy programu nagród, którego nie moglibyśmy dotrzymać. To, co oferujemy, jest konkretne: szybkie potwierdzenie, techniczny rozmówca, śledzenie aż do naprawy oraz publiczne uznanie, jeśli tego chcesz.

W zakresie

• Strona publiczna i jej strony aplikacji.
• Publicznie dostępne punkty końcowe interfejsu programistycznego.
• Mechanizmy uwierzytelniania, sesji i resetowania hasła.
• Każda wada prowadząca do odczytania, zmiany lub przekierowania danych innego użytkownika.
• Każda wada umożliwiająca zmianę kwoty, odbiorcy, kursu lub stanu zlecenia.
• Błędy konfiguracji ujawniające sekret, kopię zapasową lub środowisko wewnętrzne.

Poza zakresem

• Usługi naszych dostawców: zgłoś je bezpośrednio do danego wydawcy, który prowadzi własny program.
• Raporty wygenerowane przez automatyczny skaner bez dowodu możliwości wykorzystania.
• Znaleziska dotyczące nagłówków lub konfiguracji bez wykazanego wpływu — brak zalecanego nagłówka, plik cookie bez atrybutu w treści publicznej.
• Inżynieria społeczna wobec naszego personelu, naszych dostawców lub naszych użytkowników.
• Ataki typu denial of service, zalewanie i testy obciążeniowe w jakiejkolwiek formie.
• Podatności wymagające fizycznego dostępu do już naruszonego urządzenia.

Te zasady nie są formalnością: określają dokładnie, co pozostaje objęte naszym zobowiązaniem do nieścigania.

1. Używaj wyłącznie własnych kont i własnych danych. Utwórz drugie konto, jeśli musisz przetestować izolację między użytkownikami.
2. Zatrzymaj się, gdy tylko uzyskasz dowód dostępu. Nie czytaj, nie kopiuj ani nie eksfiltruj danych należących do osób trzecich.
3. Nie pogarszaj działania usługi: żadnego zalewania, usuwania ani modyfikowania danych produkcyjnych innych niż Twoje własne.
4. Nie ujawniaj wady publicznie, dopóki nie zostanie naprawiona lub dopóki nie minie uzgodniony wspólnie termin.
5. Jeśli nieumyślnie uzyskasz dostęp do danych osobowych, natychmiast się zatrzymaj, nie przechowuj ich i poinformuj o tym w raporcie.

Przydatny raport zawiera pięć elementów: dotknięty komponent, rzeczywisty wpływ, kroki reprodukcji, minimalny dowód oraz znaczniki czasu Twoich testów. Reszta to wygoda.

Nigdy nie umieszczaj w raporcie danych osobowych należących do osób trzecich, prawdziwego identyfikatora ani kompletnego sekretu. Częściowo zredagowany zrzut ekranu wystarczy, aby wykazać dostęp.

Otrzymujesz wtedy aktualizację statusu co najmniej co dwa tygodnie aż do zamknięcia, nawet gdy nie ma nic nowego do ogłoszenia. Cisza to coś, co skłania badacza do publikacji: wolelibyśmy jej uniknąć.

• Potwierdzamy naprawę i pozwalamy Ci ją zweryfikować przed jakimkolwiek zamknięciem.
• Publikujemy notę o incydencie, jeśli luka mogła narazić dane na ujawnienie, nawet jeśli nie stwierdzono nadużycia.
• Publicznie Cię doceniamy, jeśli chcesz, pod wybraną przez Ciebie nazwą lub pseudonimem, albo wcale, jeśli wolisz anonimowość.
• Uzgadniamy z Tobą datę publikacji, jeśli chcesz napisać własną analizę.