Bits of Freedom - Koordineret offentliggørelse af sårbarheder

Vores afhængighed af digital infrastruktur vokser hele tiden. Det gælder for samfundet som helhed, men også for os selv. Det er derfor vores mening, at regeringer og organisationer (inklusive vores egen) bør forpligte sig stærkt til at sikre vores digitale infrastruktur. Vi er klar over, at der trods vores bedste intentioner og største omhu kan findes sårbarheder i vores systemer. Hvis du støder på en af disse svagheder, vil vi meget gerne høre fra dig, så vi kan løse problemet.

Hvad vi forventer af dig

Når du undersøger et af vores systemer, så tænk på angrebets proportionalitet. Det er ikke nødvendigt at demonstrere, at vores hjemmeside kan blive utilgængelig, hvis du udsætter den for internettets største DDoS-angreb nogensinde. Det ved vi. Vi forstår også, at hvis du kører en bulldozer ind på vores kontor, vil du sandsynligvis kunne snuppe en af vores bærbare computere.
Dette proportionalitetsprincip er også relevant, når selve sårbarheden demonstreres. Du bør ikke inspicere eller ændre flere data end strengt nødvendigt for at bekræfte rigtigheden af dit fund. Hvis du f.eks. kan ændre vores hjemmeside, så tilføj blot ét ukontroversielt ord i stedet for at overtage hele siden. Hvis du kan få adgang til en database, er det nok at vise os en liste over tabellerne deri eller måske den første post i en af disse tabeller.
En sårbarhed i et af vores systemer bør rapporteres så hurtigt som muligt ved at sende en e-mail til security@bof.nl. Helst bør du kryptere din besked med OpenPGP. Giv tilstrækkelige oplysninger, så vi kan genskabe og undersøge problemet.
Den offentlige OpenPGP-nøgle til security@bof.nl
Du vil ikke dele din viden om sårbarheden med andre parter, så længe vi ikke har håndteret problemet, og vi stadig er inden for en rimelig tidsramme, siden du rapporterede problemet.
Du vil slette alle fortrolige oplysninger, du har fået under din undersøgelse, så snart vi har løst sårbarheden.

Hvad du kan forvente af os

Vi svarer på din rapport inden for tre dage på en detaljeret måde. Vi vil inkludere et estimat af den tid, vi får brug for til at håndtere problemet. Selvfølgelig holder vi dig løbende orienteret om vores fremskridt.
Vi løser sårbarheden så hurtigt som muligt. Også her er proportionalitet vigtig: den tid, det kræver at rette en sårbarhed, afhænger af flere faktorer, bl.a. alvoren og kompleksiteten af det pågældende problem.
Når du følger de retningslinjer, der er fastlagt her, vil vi ikke tage retslige skridt mod dig i forbindelse med din rapport.
Det er vigtigt for os at give dig æren for det, du har gjort - hvis du ønsker det. Vi nævner kun dit navn i en offentliggørelse om sårbarheden, hvis du er enig i det.
Som tak for at hjælpe os med bedre at beskytte vores systemer vil vi gerne belønne hver rapport om en sårbarhed, som var ukendt for os på det tidspunkt. Belønningen afhænger af sårbarhedens alvor og rapportens kvalitet.
Hvis du finder en sårbarhed i tredjepartssoftware, vi bruger, og den sårbarhed er omfattet af et bug bounty-program, vil vi ikke forsøge at gøre krav på den bounty; det bør du.