Fox-IT সমন্বিত দুর্বলতা প্রকাশ

Fox-IT-তে আমরা আমাদের সিস্টেম, নেটওয়ার্ক ও পণ্যের নিরাপত্তাকে সর্বোচ্চ গুরুত্বপূর্ণ মনে করি। নিরাপত্তা নিয়ে আমরা অত্যন্ত যত্ন নিলেও দুর্বল স্থান থেকে যেতে পারে। আপনি এমন কোনো দুর্বলতা খুঁজে পেলে, আমরা তা যত দ্রুত সম্ভব জানতে চাই যাতে যত দ্রুত সম্ভব যথাযথ ব্যবস্থা নিতে পারি।

দুর্বল স্থান দুইভাবে আবিষ্কার হতে পারে: ডিজিটাল পরিবেশের স্বাভাবিক ব্যবহারের সময় আপনি আকস্মিকভাবে কিছুর সম্মুখীন হতে পারেন, অথবা আপনি স্পষ্টভাবে সেগুলো খুঁজে পেতে আপ্রাণ চেষ্টা করতে পারেন।

আমাদের দায়িত্বশীল প্রকাশ নীতি দুর্বল স্থান আবিষ্কারের জন্য আমাদের ব্যবসায়িক নেটওয়ার্ক সক্রিয়ভাবে স্ক্যান করার আমন্ত্রণ নয়। আমরা নিজেরাই আমাদের ব্যবসায়িক নেটওয়ার্ক পর্যবেক্ষণ করি। এর অর্থ স্ক্যান শনাক্ত হওয়ার এবং আমাদের সিকিউরিটি অপারেশন সেন্টার (SOC) তদন্ত চালানোর সম্ভাবনা বেশি, যার ফলে অপ্রয়োজনীয় খরচ হতে পারে। তবে আপনাকে অফলাইন নন-প্রোডাকশন পরিবেশে আমাদের পণ্যের দুর্বলতা সক্রিয়ভাবে খুঁজতে এবং আপনার আবিষ্কার আমাদের জানাতে আমন্ত্রণ জানানো হচ্ছে। আমাদের গ্রাহকদের প্রতি আমাদের দায়িত্বের অর্থ হলো, তাঁদের অবকাঠামোতে হ্যাকিং চেষ্টাকে উৎসাহিত করা আমাদের অভিপ্রায় নয়; তবে দুর্বলতা পাওয়া গেলে আমরা যত দ্রুত সম্ভব আপনার কাছ থেকে শুনতে চাই, যাতে আমরা তা যথাযথভাবে সমাধান করতে পারি।

আমাদের গ্রাহক ও সিস্টেমকে আরও ভালোভাবে রক্ষা করতে পারার জন্য আমরা আপনার সঙ্গে কাজ করতে চাই।

আমরা আপনার কাছে অনুরোধ করছি:

• আপনার আবিষ্কার যত দ্রুত সম্ভব security-alert@fox-it.com-এ ইমেইল করুন।

• দুর্বলতার অপব্যবহার করবেন না; যেমন ডেটা ডাউনলোড, সম্পাদনা বা মুছে ফেলে। আমরা সবসময় আপনার প্রতিবেদনকে গুরুত্ব দিয়ে নেব এবং প্রমাণ ছাড়াও দুর্বলতার যেকোনো সন্দেহ তদন্ত করব।

• সমাধান না হওয়া পর্যন্ত সমস্যাটি অন্যদের সঙ্গে ভাগ করবেন না।

• শারীরিক নিরাপত্তার ওপর আক্রমণ, সোশ্যাল ইঞ্জিনিয়ারিং বা দুর্বলতা স্ক্যানারের মতো হ্যাকিং টুল ব্যবহার করবেন না।

• সমস্যাটি পুনরুৎপাদনের জন্য যথেষ্ট তথ্য দিন, যাতে আমরা যত দ্রুত সম্ভব এটি সমাধান করতে পারি। সাধারণত প্রভাবিত সিস্টেমের IP ঠিকানা বা URL এবং দুর্বলতার বর্ণনা যথেষ্ট, যদিও আরও জটিল দুর্বলতার জন্য আরও তথ্যের প্রয়োজন হতে পারে।

আমরা যা প্রতিশ্রুতি দিচ্ছি:

• আমরা তিন কার্যদিবসের মধ্যে প্রতিবেদনের আমাদের মূল্যায়ন এবং প্রত্যাশিত সমাধানের তারিখসহ আপনার প্রতিবেদনে সাড়া দেব।

• আমরা আপনার প্রতিবেদন গোপনীয়ভাবে সামলাব, এবং আপনার অনুমতি ছাড়া আপনার ব্যক্তিগত তথ্য তৃতীয় পক্ষের সঙ্গে ভাগ করব না। এর ব্যতিক্রম হলো মামলা চলার ক্ষেত্রে বা তথ্য দাবি করা হলে পুলিশ ও বিচার বিভাগ।

• সমস্যা সমাধানের অগ্রগতি সম্পর্কে আমরা আপনাকে জানিয়ে রাখব।

• জানানো সমস্যা নিয়ে যোগাযোগে, আপনি চাইলে আমরা সমস্যা আবিষ্কারকারী পক্ষ হিসেবে আপনার নাম উল্লেখ করব।

• দুর্ভাগ্যবশত আগে থেকে নিশ্চিত করা সম্ভব নয় যে আপনার বিরুদ্ধে কোনো আইনি পদক্ষেপ নেওয়া হবে না। আমরা প্রতিটি পরিস্থিতি আলাদাভাবে বিবেচনা করতে পারব বলে আশা করি। দুর্বলতা বা ডেটার অপব্যবহার হচ্ছে, অথবা আপনি দুর্বলতার জ্ঞান অন্যদের সঙ্গে ভাগ করেছেন বলে সন্দেহ হলে, আপনাকে প্রতিবেদন করা আমরা নৈতিকভাবে আমাদের দায়িত্ব মনে করি। আপনি নিশ্চিন্ত থাকতে পারেন, আমাদের অনলাইন পরিবেশে আকস্মিক আবিষ্কার মামলায় গড়াবে না।

• আপনার সাহায্যের জন্য ধন্যবাদস্বরূপ, আমাদের অজানা নিরাপত্তা সমস্যার প্রতিটি প্রতিবেদনের জন্য আমরা পুরস্কার দিই। অনুপ্রবেশের তীব্রতা ও প্রতিবেদনের মানের ভিত্তিতে আমরা পুরস্কারের মূল্য নির্ধারণ করি।

আমরা সব সমস্যা যত দ্রুত সম্ভব সমাধানের চেষ্টা করি, সব সংশ্লিষ্ট পক্ষকে জানিয়ে রাখি, এবং সমস্যাটি সমাধানের পর এ বিষয়ক যেকোনো প্রকাশনায় আমরা যুক্ত থাকতে চাই।

উদাহরণ: Bits of Freedom

ডিজিটাল অবকাঠামোর ওপর আমাদের নির্ভরতা ক্রমাগত বাড়ছে। এটি সামগ্রিকভাবে সমাজের জন্য প্রযোজ্য, তবে আমাদের নিজেদের জন্যও। তাই আমাদের মত, সরকার ও সংস্থাগুলোর (আমাদেরটিসহ) আমাদের ডিজিটাল অবকাঠামো সুরক্ষিত করতে দৃঢ়ভাবে প্রতিশ্রুতিবদ্ধ হওয়া উচিত। আমরা বুঝি, আমাদের সেরা উদ্দেশ্য ও সর্বোচ্চ যত্ন সত্ত্বেও আমাদের সিস্টেমে দুর্বলতা থাকতে পারে। আপনি যদি এসব দুর্বলতার একটি খুঁজে পান, আমরা আপনার কাছ থেকে শুনতে চাই যাতে সমস্যাটি সমাধান করতে পারি।

আমরা আপনার কাছ থেকে যা প্রত্যাশা করি

• আমাদের কোনো সিস্টেম নিয়ে অনুসন্ধানের সময় আক্রমণের আনুপাতিকতা মনে রাখুন। আপনি ইন্টারনেটের ইতিহাসের সবচেয়ে বড় DDoS আক্রমণ চালালে আমাদের সাইট অগম্য হয়ে যেতে পারে—এটি প্রমাণ করার প্রয়োজন নেই। আমরা তা জানি। আমরা এটিও বুঝি যে আপনি যদি আমাদের অফিসে বুলডোজার চালিয়ে ঢোকেন, সম্ভবত আমাদের একটি ল্যাপটপ ছিনিয়ে নিতে পারবেন।

• দুর্বলতা প্রদর্শনের সময়ও এই আনুপাতিকতার নীতি প্রযোজ্য। আপনার আবিষ্কারের বৈধতা নিশ্চিত করতে কঠোরভাবে যতটুকু প্রয়োজন তার চেয়ে বেশি ডেটা পরীক্ষা বা পরিবর্তন করা আপনার উচিত নয়। উদাহরণস্বরূপ, আপনি যদি আমাদের হোমপেজ পরিবর্তন করতে পারেন, পুরো পেজ দখলের বদলে কেবল একটি বিতর্কহীন শব্দ যোগ করুন। আপনি যদি কোনো ডাটাবেসে প্রবেশাধিকার পান, সেখানকার টেবিলগুলোর তালিকা, বা সম্ভবত একটি টেবিলের প্রথম রেকর্ড দেখালেই যথেষ্ট।

• আমাদের কোনো সিস্টেমের দুর্বলতা যত দ্রুত সম্ভব security@bof.nl-এ ইমেইল পাঠিয়ে জানানো উচিত। সম্ভব হলে OpenPGP দিয়ে আপনার বার্তা এনক্রিপ্ট করুন। আমরা যেন সমস্যাটি পুনরুৎপাদন ও তদন্ত করতে পারি সেজন্য যথেষ্ট তথ্য দিন।

• security@bof.nl-এর জন্য সর্বজনীন OpenPGP কী

• আমরা যতক্ষণ সমস্যাটির সমাধান না করি এবং আপনি সমস্যাটি জানানোর পর আমরা যুক্তিসংগত সময়ের মধ্যে থাকি, ততক্ষণ আপনি দুর্বলতা সম্পর্কে আপনার জ্ঞান অন্য পক্ষের সঙ্গে ভাগ করবেন না।

• আমরা দুর্বলতা সমাধান করার সঙ্গে সঙ্গে আপনি তদন্তের সময় পাওয়া সব গোপন তথ্য মুছে ফেলবেন।

আপনি আমাদের কাছ থেকে যা আশা করতে পারেন

• আমরা তিন দিনের মধ্যে বিস্তারিতভাবে আপনার প্রতিবেদনে সাড়া দেব। সমস্যাটি মোকাবিলায় আমাদের কত সময় লাগবে তার একটি অনুমান তাতে থাকবে। অবশ্যই আমরা নিয়মিত আমাদের অগ্রগতি সম্পর্কে আপনাকে জানাব।

• আমরা যত দ্রুত সম্ভব দুর্বলতা সমাধান করব। এখানেও আনুপাতিকতা গুরুত্বপূর্ণ: দুর্বলতা ঠিক করতে যে সময় লাগে তা বিভিন্ন বিষয়ের ওপর নির্ভর করে, এর মধ্যে সংশ্লিষ্ট সমস্যার তীব্রতা ও জটিলতা আছে।

• এখানে নির্ধারিত নির্দেশিকা অনুসরণ করলে আপনার প্রতিবেদন সংক্রান্ত বিষয়ে আমরা আপনার বিরুদ্ধে আইনি পদক্ষেপ নেব না।

• আপনি যা করেছেন সেজন্য আপনাকে কৃতিত্ব দেওয়া আমাদের কাছে গুরুত্বপূর্ণ—আপনি চাইলে। আপনি সম্মত হলেই কেবল দুর্বলতা বিষয়ক কোনো প্রকাশনায় আমরা আপনার নাম উল্লেখ করব।

• আমাদের সিস্টেম আরও ভালোভাবে রক্ষা করতে সাহায্য করার জন্য কৃতজ্ঞতা হিসেবে, সেই সময়ে আমাদের অজানা প্রতিটি দুর্বলতার প্রতিবেদনকে আমরা পুরস্কৃত করতে চাই। পুরস্কার দুর্বলতার তীব্রতা ও প্রতিবেদনের মানের ওপর নির্ভর করবে।

• আমরা যে তৃতীয় পক্ষের সফটওয়্যার ব্যবহার করি তাতে আপনি দুর্বলতা পেলে এবং সেই দুর্বলতা বাগ বাউন্টি প্রোগ্রামের আওতায় থাকলে, আমরা সেই বাউন্টি দাবি করার চেষ্টা করব না; আপনারই তা দাবি করা উচিত।