Bits of Freedom - Координирано разкриване на уязвимости

Зависимостта ни от цифровата инфраструктура непрекъснато расте. Това важи за обществото като цяло, но и за самите нас. Затова според нас правителствата и организациите (включително нашата) трябва твърдо да се ангажират със защитата на нашата цифрова инфраструктура. Осъзнаваме, че въпреки най-добрите ни намерения и най-голямата ни грижа в системите ни може да има уязвимости. Ако откриете някоя от тези слабости, ще се радваме да чуем от вас, за да можем да разрешим проблема.

Какво очакваме от вас

Когато изследвате някоя от нашите системи, имайте предвид пропорционалността на атаката. Няма нужда да демонстрирате, че когато подложите нашия уебсайт на най-голямата DDoS атака в историята на интернет, сайтът може да стане недостъпен. Знаем това. Разбираме също, че ако влезете с булдозер в офиса ни, вероятно ще можете да грабнете някой от лаптопите ни.
Този принцип на пропорционалност е важен и при демонстрирането на самата уязвимост. Не бива да преглеждате или променяте повече данни, отколкото е строго необходимо за потвърждаване на валидността на находката ви. Например, ако можете да промените началната ни страница, просто добавете към нея една неконтроверсна дума, вместо да превземате цялата страница. Ако можете да получите достъп до база данни, достатъчно е да ни покажете списък на таблиците в нея или може би първия запис в една от тези таблици.
Уязвимост в някоя от нашите системи трябва да се докладва възможно най-скоро чрез изпращане на имейл на security@bof.nl. За предпочитане е да криптирате съобщението си с OpenPGP. Моля, предоставете достатъчно информация, за да можем да възпроизведем и проучим проблема.
Публичният OpenPGP ключ за security@bof.nl
Няма да споделяте знанията си за уязвимостта с други страни, докато не сме се заели с проблема и все още сме в разумен срок от момента, в който сте докладвали проблема.
Ще изтриете цялата поверителна информация, която сте получили по време на проучването си, веднага щом отстраним уязвимостта.

Какво можете да очаквате от нас

Ще отговорим на вашия доклад в рамките на три дни по подробен начин. Ще включим оценка на времето, от което ще се нуждаем, за да се заемем с проблема. Разбира се, редовно ще ви информираме за напредъка ни.
Ще отстраним уязвимостта възможно най-скоро. И тук пропорционалността е важна: времето, необходимо за поправяне на уязвимост, зависи от няколко фактора, сред които сериозността и сложността на разглеждания проблем.
Когато следвате указанията, изложени тук, няма да предприемем правни действия срещу вас във връзка с вашия доклад.
За нас е важно да отдадем признание за онова, което сте направили, ако желаете. Ще споменем името ви в публикация относно уязвимостта само ако се съгласите с това.
Като благодарност за помощта ви да защитим по-добре системите си, бихме искали да възнаградим всеки доклад за уязвимост, която не ни е била известна по онова време. Възнаграждението ще зависи от сериозността на уязвимостта и качеството на доклада.
Ако откриете уязвимост в софтуер на трета страна, който използваме, и тази уязвимост е обхваната от програма за възнаграждения за грешки (bug bounty), няма да се опитваме да претендираме за това възнаграждение; вие трябва да го направите.