Bits of Freedom - সমন্বিত দুর্বলতা প্রকাশ

ডিজিটাল অবকাঠামোর ওপর আমাদের নির্ভরতা ক্রমাগত বাড়ছে। এটি সামগ্রিকভাবে সমাজের জন্য প্রযোজ্য, তবে আমাদের নিজেদের জন্যও। তাই আমাদের মত, সরকার ও সংস্থাগুলোর (আমাদেরটিসহ) আমাদের ডিজিটাল অবকাঠামো সুরক্ষিত করতে দৃঢ়ভাবে প্রতিশ্রুতিবদ্ধ হওয়া উচিত। আমরা বুঝি, আমাদের সেরা উদ্দেশ্য ও সর্বোচ্চ যত্ন সত্ত্বেও আমাদের সিস্টেমে দুর্বলতা থাকতে পারে। আপনি যদি এসব দুর্বলতার একটি খুঁজে পান, আমরা আপনার কাছ থেকে শুনতে চাই যাতে সমস্যাটি সমাধান করতে পারি।

আমরা আপনার কাছ থেকে যা প্রত্যাশা করি

• আমাদের কোনো সিস্টেম নিয়ে অনুসন্ধানের সময় আক্রমণের আনুপাতিকতা মনে রাখুন। আপনি ইন্টারনেটের ইতিহাসের সবচেয়ে বড় DDoS আক্রমণ চালালে আমাদের সাইট অগম্য হয়ে যেতে পারে—এটি প্রমাণ করার প্রয়োজন নেই। আমরা তা জানি। আমরা এটিও বুঝি যে আপনি যদি আমাদের অফিসে বুলডোজার চালিয়ে ঢোকেন, সম্ভবত আমাদের একটি ল্যাপটপ ছিনিয়ে নিতে পারবেন।

• দুর্বলতা প্রদর্শনের সময়ও এই আনুপাতিকতার নীতি প্রযোজ্য। আপনার আবিষ্কারের বৈধতা নিশ্চিত করতে কঠোরভাবে যতটুকু প্রয়োজন তার চেয়ে বেশি ডেটা পরীক্ষা বা পরিবর্তন করা আপনার উচিত নয়। উদাহরণস্বরূপ, আপনি যদি আমাদের হোমপেজ পরিবর্তন করতে পারেন, পুরো পেজ দখলের বদলে কেবল একটি বিতর্কহীন শব্দ যোগ করুন। আপনি যদি কোনো ডাটাবেসে প্রবেশাধিকার পান, সেখানকার টেবিলগুলোর তালিকা, বা সম্ভবত একটি টেবিলের প্রথম রেকর্ড দেখালেই যথেষ্ট।

• আমাদের কোনো সিস্টেমের দুর্বলতা যত দ্রুত সম্ভব security@bof.nl-এ ইমেইল পাঠিয়ে জানানো উচিত। সম্ভব হলে OpenPGP দিয়ে আপনার বার্তা এনক্রিপ্ট করুন। আমরা যেন সমস্যাটি পুনরুৎপাদন ও তদন্ত করতে পারি সেজন্য যথেষ্ট তথ্য দিন।

• security@bof.nl-এর জন্য সর্বজনীন OpenPGP কী

• আমরা যতক্ষণ সমস্যাটির সমাধান না করি এবং আপনি সমস্যাটি জানানোর পর আমরা যুক্তিসংগত সময়ের মধ্যে থাকি, ততক্ষণ আপনি দুর্বলতা সম্পর্কে আপনার জ্ঞান অন্য পক্ষের সঙ্গে ভাগ করবেন না।

• আমরা দুর্বলতা সমাধান করার সঙ্গে সঙ্গে আপনি তদন্তের সময় পাওয়া সব গোপন তথ্য মুছে ফেলবেন।

আপনি আমাদের কাছ থেকে যা আশা করতে পারেন

• আমরা তিন দিনের মধ্যে বিস্তারিতভাবে আপনার প্রতিবেদনে সাড়া দেব। সমস্যাটি মোকাবিলায় আমাদের কত সময় লাগবে তার একটি অনুমান তাতে থাকবে। অবশ্যই আমরা নিয়মিত আমাদের অগ্রগতি সম্পর্কে আপনাকে জানাব।

• আমরা যত দ্রুত সম্ভব দুর্বলতা সমাধান করব। এখানেও আনুপাতিকতা গুরুত্বপূর্ণ: দুর্বলতা ঠিক করতে যে সময় লাগে তা বিভিন্ন বিষয়ের ওপর নির্ভর করে, এর মধ্যে সংশ্লিষ্ট সমস্যার তীব্রতা ও জটিলতা আছে।

• এখানে নির্ধারিত নির্দেশিকা অনুসরণ করলে আপনার প্রতিবেদন সংক্রান্ত বিষয়ে আমরা আপনার বিরুদ্ধে আইনি পদক্ষেপ নেব না।

• আপনি যা করেছেন সেজন্য আপনাকে কৃতিত্ব দেওয়া আমাদের কাছে গুরুত্বপূর্ণ—আপনি চাইলে। আপনি সম্মত হলেই কেবল দুর্বলতা বিষয়ক কোনো প্রকাশনায় আমরা আপনার নাম উল্লেখ করব।

• আমাদের সিস্টেম আরও ভালোভাবে রক্ষা করতে সাহায্য করার জন্য কৃতজ্ঞতা হিসেবে, সেই সময়ে আমাদের অজানা প্রতিটি দুর্বলতার প্রতিবেদনকে আমরা পুরস্কৃত করতে চাই। পুরস্কার দুর্বলতার তীব্রতা ও প্রতিবেদনের মানের ওপর নির্ভর করবে।

• আমরা যে তৃতীয় পক্ষের সফটওয়্যার ব্যবহার করি তাতে আপনি দুর্বলতা পেলে এবং সেই দুর্বলতা বাগ বাউন্টি প্রোগ্রামের আওতায় থাকলে, আমরা সেই বাউন্টি দাবি করার চেষ্টা করব না; আপনারই তা দাবি করা উচিত।