Bits of Freedom - Divulgación coordinada de vulnerabilidades

Nuestra dependencia de la infraestructura digital no deja de crecer. Esto se aplica a la sociedad en su conjunto, pero también a nosotros mismos. Por ello, opinamos que los gobiernos y las organizaciones (incluida la nuestra) deberían comprometerse firmemente con la protección de nuestra infraestructura digital. Somos conscientes de que, a pesar de nuestras mejores intenciones y de nuestro mayor cuidado, pueden existir vulnerabilidades en nuestros sistemas. Si llega a encontrar alguna de estas debilidades, nos encantaría saber de usted para poder resolver el problema.

Lo que esperamos de usted

Cuando investigue uno de nuestros sistemas, tenga en cuenta la proporcionalidad del ataque. No es necesario demostrar que, si somete nuestro sitio web al mayor ataque DDoS de la historia de internet, el sitio puede quedar inaccesible. Ya lo sabemos. También entendemos que, si mete una excavadora en nuestra oficina, probablemente podrá llevarse uno de nuestros portátiles.
Este principio de proporcionalidad también es relevante al demostrar la propia vulnerabilidad. No debe inspeccionar ni modificar más datos de los estrictamente necesarios para confirmar la validez de su hallazgo. Por ejemplo, si puede modificar nuestra página de inicio, añada una sola palabra no polémica en lugar de apoderarse de toda la página. Si puede obtener acceso a una base de datos, basta con mostrarnos una lista de las tablas que contiene, o quizá el primer registro de una de ellas.
Una vulnerabilidad en uno de nuestros sistemas debe notificarse lo antes posible enviando un correo electrónico a security@bof.nl. Preferiblemente, cifre su mensaje con OpenPGP. Proporcione información suficiente para que podamos reproducir e investigar el problema.
La clave pública OpenPGP de security@bof.nl
No compartirá su conocimiento de la vulnerabilidad con otras partes mientras no hayamos abordado el problema y sigamos dentro de un plazo razonable desde que lo notificó.
Eliminará toda la información confidencial que haya obtenido durante su investigación en cuanto hayamos resuelto la vulnerabilidad.

Lo que puede esperar de nosotros

Responderemos a su informe en un plazo de tres días de manera detallada. Incluiremos una estimación del tiempo que necesitaremos para abordar el problema. Por supuesto, le mantendremos informado periódicamente de nuestros avances.
Resolveremos la vulnerabilidad lo antes posible. También aquí es importante la proporcionalidad: el tiempo necesario para corregir una vulnerabilidad depende de varios factores, entre ellos la gravedad y la complejidad del problema en cuestión.
Si sigue las directrices aquí expuestas, no emprenderemos acciones legales contra usted en relación con su informe.
Para nosotros es importante reconocer lo que hizo, si así lo desea. Mencionaremos su nombre en una publicación sobre la vulnerabilidad solo si usted está de acuerdo.
Como agradecimiento por ayudarnos a proteger mejor nuestros sistemas, nos gustaría recompensar cada informe de una vulnerabilidad que desconociéramos en ese momento. La recompensa dependerá de la gravedad de la vulnerabilidad y de la calidad del informe.
Si encuentra una vulnerabilidad en software de terceros que utilizamos y esa vulnerabilidad está cubierta por un programa de recompensas por errores, no intentaremos reclamar esa recompensa; debería hacerlo usted.