Bits of Freedom – koordinované zveřejňování zranitelností

Naše závislost na digitální infrastruktuře neustále roste. To platí pro společnost jako celek, ale také pro nás samotné. Je proto naším názorem, že vlády a organizace (včetně té naší) by se měly rozhodně zavázat k zabezpečení naší digitální infrastruktury. Uvědomujeme si, že navzdory našim nejlepším úmyslům a největší péči mohou v našich systémech existovat zranitelnosti. Pokud na některou z těchto slabin narazíte, rádi se o ní dozvíme, abychom mohli problém vyřešit.

Co od vás očekáváme

• Když zkoumáte jeden z našich systémů, mějte na paměti přiměřenost útoku. Není třeba dokazovat, že když náš web podrobíte největšímu DDoS útoku v historii internetu, může se stát nedostupným. My to víme. Chápeme také, že pokud vjedete buldozerem do naší kanceláře, pravděpodobně se vám podaří uchvátit jeden z našich notebooků.

• Tato zásada přiměřenosti je relevantní i při demonstraci samotné zranitelnosti. Neměli byste prohlížet ani upravovat více dat, než je nezbytně nutné k potvrzení platnosti vašeho nálezu. Například pokud dokážete upravit naši domovskou stránku, přidejte na ni jen jediné nekontroverzní slovo místo přebírání celé stránky. Pokud se dostanete k databázi, stačí nám ukázat seznam tabulek, které v ní jsou, nebo třeba první záznam v jedné z těchto tabulek.

• Zranitelnost v jednom z našich systémů by měla být nahlášena co nejdříve zasláním e-mailu na security@bof.nl. Nejlépe svou zprávu zašifrujte pomocí OpenPGP. Poskytněte dostatek informací, abychom mohli problém reprodukovat a prošetřit.

• Veřejný klíč OpenPGP pro security@bof.nl

• Nebudete sdílet své znalosti o zranitelnosti s jinými stranami, dokud jsme problém neřešili a stále jsme v přiměřené lhůtě od doby, kdy jste problém nahlásili.

• Smažete všechny důvěrné informace, které jste získali během svého zkoumání, jakmile zranitelnost vyřešíme.

Co můžete očekávat od nás

• Na vaše hlášení odpovíme do tří dnů podrobně. Zahrneme odhad času, který budeme potřebovat k řešení problému. Samozřejmě vás budeme pravidelně informovat o našem pokroku.

• Zranitelnost vyřešíme co nejdříve. I zde je přiměřenost důležitá: doba potřebná k opravě zranitelnosti závisí na několika faktorech, mezi nimi na závažnosti a složitosti daného problému.

• Pokud se budete řídit zde uvedenými zásadami, nepodnikneme proti vám v souvislosti s vaším hlášením žádné právní kroky.

• Je pro nás důležité uvést vaši zásluhu za to, co jste udělali – pokud si to přejete. Vaše jméno uvedeme v publikaci o zranitelnosti pouze s vaším souhlasem.

• Jako poděkování za pomoc při lepší ochraně našich systémů bychom rádi odměnili každé hlášení zranitelnosti, která nám v té době nebyla známa. Odměna bude záviset na závažnosti zranitelnosti a kvalitě hlášení.

• Pokud najdete zranitelnost v softwaru třetí strany, který používáme, a tato zranitelnost je pokryta programem bug bounty, nebudeme se snažit si tuto odměnu nárokovat; měli byste ji nárokovat vy.