Vastutustundlik avalikustamine

Vastutustundliku avalikustamise poliitika

Hoolimata pidevatest pingutustest süsteemide turvalisuse tagamisel võib haavatavusi aeg-ajalt ette tulla. Väärtustame koostööd ja tahame koos kaitsta oma kliente ja taristut.

Kui oled leidnud meie süsteemides võimaliku turvaprobleemi, palume sellest teatada turvaliselt ja diskreetselt. Nii aitad kaitsta meie kasutajaid, parandada teenuseid ja hoida usaldust kogu platvormil. Palun loe enne leidude saatmist läbi järgmised juhised.

Kuidas teavitada

• Saada leiud e-kirjaga aadressile responsibledisclosure@aqqo.com.
• Krüpti aruanne meie PGP-võtmega, et teave ei satuks valedesse kätesse.
• Kasuta selget teemarida, näiteks „Vulnerability report - app.aqqo.com“.

Poliitika ulatus

See poliitika kehtib süsteemidele ja teenustele, mis kuuluvad Aqqole või mida Aqqo haldab või kontrollib.

Ulatuses (näited)

• veebirakendused ja API-d aadressidel aqqo.com, app.aqqo.com ja api.aqqo.com;
• Aqqo kontrolli all olev taristu, mis neid teenuseid toetab;
• Aqqo ametlikud mobiilirakendused: Aqqo ja Jaqqo.

Ulatusest väljas (näited)

• kolmandate osapoolte teenused, mida Aqqo ei kontrolli (näiteks välised teenusepakkujad), välja arvatud juhul, kui probleemi on tõendatult põhjustanud Aqqo seadistus;
• süsteemid, mida sul ei ole luba testida;
• füüsilised rünnakud kontorite, töötajate või rajatiste vastu.

Kui sa ei ole kindel, kas sihtmärk on ulatuses, küsi enne aadressil responsibledisclosure@aqqo.com.

Tegutsemisreeglid

Haavatavuse uurimisel ja sellest teatamisel palume:

• Mitte ära kasutada haavatavust rohkem, kui on vaja mõju tõendamiseks. Ära laadi alla rohkem andmeid, kui vaja, ning ära vaata, kustuta ega muuda kolmandate isikute andmeid.
• Austada privaatsust ja konfidentsiaalsust. Ära jaga üksikasju teistega enne, kui probleem on lahendatud, ning kustuta haavatavuse kaudu saadud konfidentsiaalsed andmed niipea, kui neid pole kinnitamiseks enam vaja.
• Vältida häireid. Ära kasuta füüsilisi rünnakuid, sotsiaalset manipuleerimist, hajutatud teenusetõkestusrünnakuid (DDoS), rämpsposti ega testimist, mis kahjustab kättesaadavust või jõudlust.
• Tegutseda heas usus ja jääda ulatuse piiresse. Väldi korduvat automaatset skannimist, suuri päringumahtusid ja tegevusi, mis võivad mõjutada teisi kasutajaid.

Mida aruandesse lisada

Et saaksime probleemi kiiresti hinnata ja parandada, lisa palun:

• mõjutatud IP-aadress, domeen või URL;
• haavatavuse selge kirjeldus ja selle realistlik mõju;
• reprodutseerimise sammud (vajaduse korral päringu ja vastuse näidetega);
• kontseptsiooni tõestus, ekraanipildid või logid (võimaluse korral puhastatud);
• kas sinu arvates võivad isikuandmed paljastuda või neid võidakse väärkasutada;
• sinu eelistatud kontaktandmed ja kas soovid avalikustamise korral avalikku tunnustust.

Tõsidus ja prioriteedid

Eelistame haavatavusi, millel on selge ja realistlik mõju andmete või kontode konfidentsiaalsusele, terviklusele või kättesaadavusele. Näiteks autentimise või autoriseerimise möödapääsud, süstimisrünnakud ja andmete otsene paljastumine.

Tasu pole üldjuhul ette nähtud järgmistele kategooriatele (kuigi võime neid siiski tugevdamise või parimate tavade parendusena käsitleda):

• parimate tavade või põhjalikuma kaitse soovitused ilma tõendatud rünnakustsenaariumita (näiteks täiendavad turvateated või puuduvad või mitteoptimaalsed turvapäised ilma ärakasutuseta);
• Self-XSS või probleemid, mille jaoks ohver peab muutma oma brauserit või arendaja tööriistu või käivitama oma konsoolis suvalist koodi;
• probleemid, mis eeldavad, et kasutaja seade, brauser või e-posti konto on juba ohtu sattunud.

Tasu

Tänutäheks võime oma äranägemisel pakkuda tasu kehtivate aruannete eest, mis käsitlevad seni teadmata turvaprobleemi. Tasu suurus oleneb probleemi tõsidusest, mõjust ja aruande kvaliteedist ning algab 25 euro väärtuses vautšerist.

Tasu üldjuhul ei pakuta:

• varem teadaolevate probleemide korduvate aruannete eest (olenemata sellest, kas neist on varem teatatud väljastpoolt või tuvastatud sisemiselt);
• ulatusest väljas olevate probleemide eest;
• väikese mõjuga leidude eest, millel puudub tõendatud rünnakustsenaarium (vt „Tõsidus ja prioriteedid“).

Me ei pruugi alati saada jagada üksikasju oma sisemise hindamise või konkreetsete probleemide kohta varem teadaoleva teabe kohta.

Meie lubadus

Kui saadad aruande:

• püüame kinnitada aruande kättesaamist 3 tööpäeva jooksul ning võimaluse korral anda esmase hinnangu. Kriitiliste probleemide puhul püüame vastata varem;
• tõsisemate probleemide korral anname endast parima, et hoida sind olulistest etappidest (näiteks parenduse kasutuselevõtust) kursis;
• kui oled tegutsenud heas usus, selle poliitika raames ning kasutajaid ja süsteeme tahtlikult kahjustamata, ei algata me sinu vastu õiguslikke samme sinu turvauuringu ja aruande pärast;
• käsitleme sinu aruannet konfidentsiaalselt ega jaga sinu isikuandmeid ilma sinu nõusolekuta, välja arvatud juhul, kui seadus seda nõuab. Pseudonüümi all teatamine on lubatud;
• püüame kõik probleemid lahendada nii kiiresti kui võimalik.

Koordineeritud avalikustamine

Toetame koordineeritud haavatavuste avalikustamist. Kui plaanid üksikasju avaldada, lepi esmalt meiega kokku.

• Palume haavatavust avalikult mitte avalikustada enne, kui oleme selle lahendanud või avalikustamise ajakava kokku leppinud.
• Tõsiste probleemide puhul, kus avalikustamine on asjakohane, on meie tavaline avalikustamisaken umbes 90 päeva. See võib siiski sõltuda probleemi tõsidusest, keerukusest ja kasutajate riskist. Eeldatavast ajakavast teavitame sind vajaduse korral hindamise käigus.
• Väikese tõsidusega probleeme võime käsitleda tavaliste vigadena ilma avaliku avalikustamiseta.
• Hindame, kui meid kaasatakse avaldamisse ette, et kasutajad püsiksid kaitstud.

Küsimused

Selle poliitikaga seotud küsimustega võta meiega ühendust aadressil responsibledisclosure@aqqo.com.

Vaata ka: Turvalisus.