Bits of Freedom – Συντονισμένη γνωστοποίηση ευπαθειών

Η εξάρτησή μας από την ψηφιακή υποδομή αυξάνεται συνεχώς. Αυτό ισχύει για την κοινωνία συνολικά, αλλά και για εμάς τους ίδιους. Είναι επομένως η άποψή μας ότι οι κυβερνήσεις και οι οργανισμοί (συμπεριλαμβανομένου του δικού μας) θα πρέπει να δεσμευτούν σθεναρά για την ασφάλεια της ψηφιακής υποδομής μας. Αντιλαμβανόμαστε ότι, παρά τις καλύτερες προθέσεις μας και τη μεγαλύτερη φροντίδα, ενδέχεται να υπάρχουν ευπάθειες στα συστήματά μας. Αν τύχει να βρείτε μία από αυτές τις αδυναμίες, θα χαρούμε να ακούσουμε από εσάς ώστε να επιλύσουμε το ζήτημα.

Τι περιμένουμε από εσάς

• Όταν ερευνάτε ένα από τα συστήματά μας, να έχετε υπόψη την αναλογικότητα της επίθεσης. Δεν χρειάζεται να αποδείξετε ότι όταν υποβάλλετε τον ιστότοπό μας στη μεγαλύτερη επίθεση DDoS στην ιστορία του διαδικτύου, ο ιστότοπος μπορεί να καταστεί μη προσβάσιμος. Το γνωρίζουμε. Καταλαβαίνουμε επίσης ότι αν οδηγήσετε μια μπουλντόζα στο γραφείο μας, πιθανότατα θα μπορέσετε να αρπάξετε έναν από τους φορητούς υπολογιστές μας.

• Αυτή η αρχή της αναλογικότητας είναι επίσης σχετική κατά την επίδειξη της ίδιας της ευπάθειας. Δεν πρέπει να επιθεωρήσετε ή να τροποποιήσετε περισσότερα δεδομένα από όσα είναι απολύτως απαραίτητα για να επιβεβαιώσετε την εγκυρότητα του ευρήματός σας. Για παράδειγμα, αν μπορείτε να τροποποιήσετε την αρχική σελίδα μας, απλώς προσθέστε μία μόνο μη αμφιλεγόμενη λέξη αντί να αναλάβετε ολόκληρη τη σελίδα. Αν μπορείτε να αποκτήσετε πρόσβαση σε μια βάση δεδομένων, αρκεί να μας δείξετε μια λίστα με τους πίνακες που υπάρχουν εκεί μέσα ή ίσως την πρώτη εγγραφή σε έναν από αυτούς τους πίνακες.

• Μια ευπάθεια σε ένα από τα συστήματά μας θα πρέπει να αναφερθεί το συντομότερο δυνατό στέλνοντας email στο security@bof.nl. Κατά προτίμηση θα κρυπτογραφήσετε το μήνυμά σας χρησιμοποιώντας OpenPGP. Δώστε επαρκείς πληροφορίες ώστε να μπορέσουμε να αναπαράγουμε και να ερευνήσουμε το ζήτημα.

• Το δημόσιο κλειδί OpenPGP για το security@bof.nl

• Δεν θα μοιραστείτε τη γνώση σας για την ευπάθεια με άλλα μέρη όσο δεν έχουμε αντιμετωπίσει το ζήτημα και είμαστε ακόμη εντός ευλόγου χρονικού διαστήματος από τότε που αναφέρατε το ζήτημα.

• Θα διαγράψετε όλες τις εμπιστευτικές πληροφορίες που αποκτήσατε κατά τη διάρκεια της έρευνάς σας μόλις επιλύσουμε την ευπάθεια.

Τι μπορείτε να περιμένετε από εμάς

• Θα απαντήσουμε στην αναφορά σας εντός τριών ημερών με λεπτομερή τρόπο. Θα συμπεριλάβουμε μια εκτίμηση του χρόνου που θα χρειαστούμε για να αντιμετωπίσουμε το ζήτημα. Φυσικά, θα σας ενημερώνουμε τακτικά για την πρόοδό μας.

• Θα επιλύσουμε την ευπάθεια το συντομότερο δυνατό. Κι εδώ η αναλογικότητα είναι σημαντική: ο χρόνος που απαιτείται για τη διόρθωση μιας ευπάθειας εξαρτάται από διάφορους παράγοντες, μεταξύ των οποίων η σοβαρότητα και η πολυπλοκότητα του εν λόγω ζητήματος.

• Όταν ακολουθείτε τις οδηγίες που περιγράφονται εδώ, δεν θα προβούμε σε νομική ενέργεια εναντίον σας σχετικά με την αναφορά σας.

• Είναι σημαντικό για εμάς να σας αναγνωρίσουμε για αυτό που κάνατε - αν το επιθυμείτε. Θα αναφέρουμε το όνομά σας σε δημοσίευση σχετικά με την ευπάθεια μόνο αν συμφωνήσετε.

• Ως ευχαριστία που μας βοηθήσατε να προστατεύσουμε καλύτερα τα συστήματά μας, θα θέλαμε να ανταμείψουμε κάθε αναφορά ευπάθειας που ήταν άγνωστη σε εμάς εκείνη τη στιγμή. Η ανταμοιβή θα εξαρτηθεί από τη σοβαρότητα της ευπάθειας και την ποιότητα της αναφοράς.

• Αν βρείτε ευπάθεια σε λογισμικό τρίτου που χρησιμοποιούμε και αυτή η ευπάθεια καλύπτεται από πρόγραμμα bug bounty, δεν θα προσπαθήσουμε να διεκδικήσουμε αυτή την ανταμοιβή· θα πρέπει να το κάνετε εσείς.