Fox-IT: Координирано разкриване на уязвимости

Във Fox-IT считаме сигурността на нашите системи, нашата мрежа и нашите продукти за изключително важна. Въпреки голямата грижа, която полагаме за сигурността, слаби места все още могат да останат. Ако сте открили такава слабост, бихме искали да научим за нея възможно най-скоро, за да можем да вземем подходящи мерки възможно най-бързо.

Слабите места могат да бъдат открити по два начина: можете случайно да попаднете на нещо при нормалната употреба на цифрова среда или можете изрично да се опитате да ги намерите.

Нашата политика за отговорно разкриване не е покана за активно сканиране на бизнес мрежата ни с цел откриване на слаби места. Ние наблюдаваме бизнес мрежата си сами. Това означава, че има голям шанс сканирането да бъде засечено и нашият Център за операции по сигурността (SOC) да извърши разследване, което може да доведе до ненужни разходи. Приканваме ви обаче активно да търсите уязвимости в нашите продукти в офлайн среда, различна от производствената, и да ни докладвате находките си. Отговорността ни към нашите клиенти означава, че намерението ни не е да насърчаваме опити за хакване на тяхната инфраструктура; въпреки това бихме искали да чуем от вас възможно най-бързо, ако бъдат открити уязвимости, за да можем да ги отстраним адекватно.

Бихме искали да работим с вас, за да можем по-добре да защитаваме нашите клиенти и нашите системи.

Молим ви да:

Изпратите находките си по имейл възможно най-бързо на security-alert@fox-it.com.
Не злоупотребявате с уязвимостта; например чрез изтегляне, редактиране или изтриване на данни. Винаги ще приемаме доклада ви сериозно и ще разследваме всяко подозрение за уязвимост, дори без доказателства.
Не споделяте проблема с други, докато не бъде разрешен.
Не използвате атаки срещу физическата сигурност, социално инженерство или хакерски инструменти, като скенери за уязвимости.
Предоставите достатъчно информация за възпроизвеждане на проблема, за да можем да го разрешим възможно най-бързо. Обикновено IP адресът или URL адресът на засегнатата система и описание на уязвимостта са достатъчни, макар че за по-сложни уязвимости може да е необходима повече информация.

Какво обещаваме:

Ще отговорим на вашия доклад в рамките на три работни дни с нашата оценка на доклада и очаквана дата за разрешаване.
Ще обработим вашия доклад поверително и няма да споделяме личните ви данни с трети страни без вашето разрешение. Изключение от това са полицията и съдебната власт в случай на наказателно преследване или ако се изисква информация.
Ще ви информираме за напредъка по решаването на проблема.
В комуникацията относно докладвания проблем ще посочим вашето име като страната, която е открила проблема, ако желаете.
За съжаление не е възможно да гарантираме предварително, че няма да бъдат предприети правни действия срещу вас. Надяваме се да можем да разглеждаме всяка ситуация поотделно. Считаме се за морално задължени да ви докладваме, ако подозираме, че слабостта или данните се използват злоупотребително или че сте споделили знание за слабостта с други. Можете да бъдете спокойни, че случайно откритие в нашата онлайн среда няма да доведе до наказателно преследване.
Като благодарност за помощта ви предлагаме възнаграждение за всеки доклад за проблем със сигурността, който не ни е известен. Определяме стойността на възнаграждението въз основа на сериозността на нарушението и качеството на доклада.

Стремим се да разрешим всички проблеми възможно най-бързо, да държим всички засегнати страни информирани и бихме искали да участваме във всяка публикация относно проблема, след като бъде разрешен.

Пример: Bits of Freedom

Зависимостта ни от цифровата инфраструктура непрекъснато расте. Това важи за обществото като цяло, но и за самите нас. Затова според нас правителствата и организациите (включително нашата) трябва твърдо да се ангажират със защитата на нашата цифрова инфраструктура. Осъзнаваме, че въпреки най-добрите ни намерения и най-голямата ни грижа в системите ни може да има уязвимости. Ако откриете някоя от тези слабости, ще се радваме да чуем от вас, за да можем да разрешим проблема.

Какво очакваме от вас

Когато изследвате някоя от нашите системи, имайте предвид пропорционалността на атаката. Няма нужда да демонстрирате, че когато подложите нашия уебсайт на най-голямата DDoS атака в историята на интернет, сайтът може да стане недостъпен. Знаем това. Разбираме също, че ако влезете с булдозер в офиса ни, вероятно ще можете да грабнете някой от лаптопите ни.
Този принцип на пропорционалност е важен и при демонстрирането на самата уязвимост. Не бива да преглеждате или променяте повече данни, отколкото е строго необходимо за потвърждаване на валидността на находката ви. Например, ако можете да промените началната ни страница, просто добавете към нея една неконтроверсна дума вместо да превземате цялата страница. Ако можете да получите достъп до база данни, достатъчно е да ни покажете списък на таблиците в нея или може би първия запис в една от тези таблици.
Уязвимост в някоя от нашите системи трябва да се докладва възможно най-скоро чрез изпращане на имейл на security@bof.nl. За предпочитане е да криптирате съобщението си с OpenPGP. Моля, предоставете достатъчно информация, за да можем да възпроизведем и проучим проблема.
Публичният OpenPGP ключ за security@bof.nl
Няма да споделяте знанията си за уязвимостта с други страни, докато не сме се заели с проблема и все още сме в разумен срок от момента, в който сте докладвали проблема.
Ще изтриете цялата поверителна информация, която сте получили по време на проучването си, веднага щом отстраним уязвимостта.

Какво можете да очаквате от нас

Ще отговорим на вашия доклад в рамките на три дни по подробен начин. Ще включим оценка на времето, от което ще се нуждаем, за да се заемем с проблема. Разбира се, редовно ще ви информираме за напредъка ни.
Ще отстраним уязвимостта възможно най-скоро. И тук пропорционалността е важна: времето, необходимо за поправяне на уязвимост, зависи от няколко фактора, сред които сериозността и сложността на разглеждания проблем.
Когато следвате указанията, изложени тук, няма да предприемем правни действия срещу вас във връзка с вашия доклад.
За нас е важно да отдадем признание за онова, което сте направили, ако желаете. Ще споменем името ви в публикация относно уязвимостта само ако се съгласите с това.
Като благодарност за помощта ви да защитим по-добре системите си, бихме искали да възнаградим всеки доклад за уязвимост, която не ни е била известна по онова време. Възнаграждението ще зависи от сериозността на уязвимостта и качеството на доклада.

Ако откриете уязвимост в софтуер на трета страна, който използваме, и тази уязвимост е обхваната от програма за възнаграждения за грешки (bug bounty), няма да се опитваме да претендираме за това възнаграждение; вие трябва да го направите.