Bits of Freedom – koordineeritud haavatavuste avalikustamine

Meie sõltuvus digitaalsest taristust kasvab pidevalt. See kehtib nii ühiskonna kui ka meie endi kohta. Seetõttu on meie arvates valitsused ja organisatsioonid (sh meie omad) kohustatud oma digitaalse taristu turvamisele tugevalt pühenduma. Mõistame, et parimatest kavatsustest ja suurimast hoolest hoolimata võib meie süsteemides haavatavusi olla. Kui leiad mõne sellise nõrkuse, kuuleksime sinust hea meelega, et saaksime probleemi lahendada.

Mida me sinult ootame

Kui uurid mõnda meie süsteemi, pea silmas rünnaku proportsionaalsust. Pole vaja demonstreerida, et kui allutad meie veebisaidi interneti ajaloo suurimale DDoS-rünnakule, võib sait muutuda kättesaamatuks. Me teame seda. Mõistame ka, et kui sõidad buldooseriga meie kontorisse, saad ilmselt ühe meie sülearvutitest endale.
See proportsionaalsuse põhimõte on oluline ka haavatavuse enda demonstreerimisel. Sa ei tohiks uurida ega muuta rohkem andmeid, kui on rangelt vajalik oma leiu kehtivuse kinnitamiseks. Näiteks kui saad muuta meie kodulehte, lisa sinna vaid üks vaidlustamatu sõna, selle asemel et kogu leht üle võtta. Kui saad juurdepääsu andmebaasile, piisab sellest, kui näitad meile seal olevate tabelite nimekirja või ehk ühe tabeli esimest kirjet.
Meie süsteemi haavatavusest tuleks teatada võimalikult kiiresti, saates e-kirja aadressile security@bof.nl. Eelistatavalt krüpteeri oma sõnum OpenPGP-ga. Palun anna piisavalt teavet, et saaksime probleemi taasesitada ja uurida.
Avalik OpenPGP võti aadressile security@bof.nl
Sa ei jaga oma teadmisi haavatavusest teiste osapooltega seni, kuni me pole probleemi lahendanud ja oleme endiselt mõistliku ajaraami piires alates sellest, kui sa probleemist teatasid.
Sa kustutad kogu uurimise käigus saadud konfidentsiaalse teabe niipea, kui oleme haavatavuse lahendanud.

Mida sa võid meilt oodata

Vastame sinu aruandele kolme päeva jooksul üksikasjalikult. Lisame hinnangu ajale, mida vajame probleemi lahendamiseks. Muidugi hoiame sind regulaarselt oma edusammudega kursis.
Lahendame haavatavuse võimalikult kiiresti. Ka siin on proportsionaalsus oluline: haavatavuse parandamiseks vajalik aeg sõltub mitmest tegurist, sealhulgas käsitletava probleemi tõsidusest ja keerukusest.
Kui järgid siin esitatud juhiseid, ei astu me sinu aruande suhtes sinu vastu õiguslikke samme.
Meile on oluline sind tehtu eest tunnustada – kui soovid. Mainime sinu nime haavatavust käsitlevas avalduses ainult siis, kui oled sellega nõus.
Tänutäheks meie süsteemide paremal kaitsmisel aitamise eest soovime tasustada iga haavatavuse aruande, mis oli meile sel hetkel teadmata. Tasu sõltub haavatavuse tõsidusest ja aruande kvaliteedist.
Kui leiad haavatavuse kolmanda osapoole tarkvaras, mida me kasutame, ja see haavatavus on hõlmatud veaennetuse programmiga (bug bounty), ei püüa me seda tasu endale nõuda; seda peaksid tegema sina.