Bits of Freedom - Datgelu Cydgysylltiedig o Wendidau

Mae ein dibyniaeth ar seilwaith digidol yn cynyddu drwy'r amser. Mae hyn yn wir am y gymdeithas gyfan, ond hefyd amdanom ni ein hunain. Felly ein barn ni yw y dylai llywodraethau a sefydliadau (gan gynnwys ni) ymrwymo'n gryf i ddiogelu ein seilwaith digidol. Rydym yn sylweddoli, er gwaethaf ein bwriadau gorau a'n gofal mwyaf, y gall gwendidau fodoli yn ein systemau. Os byddwch yn dod o hyd i un o'r gwendidau hyn, byddem wrth ein bodd yn clywed gennych fel y gallwn ddatrys y broblem.

Beth rydym yn ei ddisgwyl gennych

Pan fyddwch yn ymchwilio i un o'n systemau, cofiwch gymesuredd yr ymosodiad. Does dim angen dangos, os byddwch yn cyflwyno ein gwefan i'r ymosodiad DDoS mwyaf yn hanes y rhyngrwyd, y gall y safle fynd yn anghyraeddadwy. Rydym yn gwybod hynny. Rydym hefyd yn deall, os byddwch yn gyrru bwldoser i mewn i'n swyddfa, mae'n debyg y byddwch yn gallu cipio un o'n gliniaduron.
Mae'r egwyddor hon o gymesuredd hefyd yn berthnasol wrth ddangos y gwendid ei hun. Ni ddylech archwilio nac addasu mwy o ddata nag sy'n gwbl angenrheidiol i gadarnhau dilysrwydd eich canfyddiad. Er enghraifft, os gallwch addasu ein hafan, ychwanegwch un gair di-ddadl yn unig yn hytrach na chymryd y dudalen gyfan drosodd. Os gallwch gael mynediad i gronfa ddata, mae'n ddigon dangos rhestr o'r tablau sydd ynddi, neu efallai'r cofnod cyntaf yn un o'r tablau hyn.
Dylid adrodd am wendid yn un o'n systemau cyn gynted â phosibl drwy anfon e-bost i security@bof.nl. Yn ddelfrydol, byddech yn amgryptio eich neges gan ddefnyddio OpenPGP. Rhowch ddigon o wybodaeth i ni fel y gallwn atgynhyrchu ac ymchwilio i'r broblem.
Yr allwedd OpenPGP gyhoeddus ar gyfer security@bof.nl
Ni fyddwch yn rhannu eich gwybodaeth am y gwendid ag eraill cyhyd nad ydym wedi mynd i'r afael â'r broblem a'n bod yn dal o fewn amserlen resymol ers i chi adrodd am y broblem.
Byddwch yn dileu'r holl wybodaeth gyfrinachol a gawsoch yn ystod eich ymchwiliad cyn gynted ag y byddwn wedi datrys y gwendid.

Beth y gallwch ei ddisgwyl gennym ni

Byddwn yn ymateb i'ch adroddiad o fewn tri diwrnod mewn modd manwl. Byddwn yn cynnwys amcangyfrif o'r amser y bydd ei angen arnom i fynd i'r afael â'r broblem. Wrth gwrs, byddwn yn eich hysbysu'n rheolaidd o'n cynnydd.
Byddwn yn datrys y gwendid cyn gynted â phosibl. Yma hefyd mae cymesuredd yn bwysig: mae faint o amser sydd ei angen i drwsio gwendid yn dibynnu ar sawl ffactor, yn eu plith difrifoldeb a chymhlethdod y broblem dan sylw.
Pan fyddwch yn dilyn y canllawiau a nodir yma, ni fyddwn yn cymryd camau cyfreithiol yn eich erbyn ynglŷn â'ch adroddiad.
Mae'n bwysig i ni roi clod i chi am yr hyn a wnaethoch - os dymunwch. Byddwn yn crybwyll eich enw mewn cyhoeddiad ynglŷn â'r gwendid dim ond os cytunwch i hyn.
Fel diolch am helpu i ddiogelu ein systemau'n well, hoffem wobrwyo pob adroddiad o wendid nad oeddem yn ei adnabod ar y pryd. Bydd y wobr yn dibynnu ar ddifrifoldeb y gwendid ac ansawdd yr adroddiad.
Os byddwch yn dod o hyd i wendid mewn meddalwedd trydydd parti rydym yn ei defnyddio a bod y gwendid hwnnw wedi'i gwmpasu gan raglen gwobrwyo gwallau, ni fyddwn yn ceisio hawlio'r wobr hon; dylech chi wneud hynny.