Coordinated vulnerability disclosureFox-IT: افشای هماهنگ آسیب‌پذیری
در Fox-IT امنیت سامانه‌ها، شبکه و محصولات خود را بسیار مهم می‌دانیم. با وجود دقت زیادی که در امنیت به کار می‌بریم، نقاط ضعف همچنان ممکن است باقی بمانند. اگر چنین ضعفی یافته‌اید، دوست داریم هرچه زودتر از آن آگاه شویم تا بتوانیم اقدامات مناسب را هرچه سریع‌تر انجام دهیم.
نقاط ضعف را می‌توان به دو روش کشف کرد: ممکن است هنگام استفاده عادی از یک محیط دیجیتال تصادفاً به چیزی برخورد کنید، یا ممکن است صریحاً تمام تلاش خود را برای یافتن آن‌ها بکنید.
سیاست افشای مسئولانه ما دعوتی برای پویش فعال شبکه کسب‌وکار ما برای کشف نقاط ضعف نیست. ما شبکه کسب‌وکار خود را خودمان پایش می‌کنیم. این یعنی احتمال زیادی وجود دارد که پویشی شناسایی شود و مرکز عملیات امنیت (Security Operation Center، یا SOC) ما بررسی انجام دهد، که ممکن است هزینه‌های غیرضروری در پی داشته باشد. با این حال، از شما دعوت می‌شود آسیب‌پذیری‌ها را در محصولات ما در یک محیط غیرتولیدی آفلاین فعالانه جست‌وجو کنید و یافته‌های خود را به ما گزارش دهید. مسئولیت ما در برابر مشتریان به این معناست که قصد ما تشویق به تلاش برای هک زیرساخت آنان نیست؛ با این حال، می‌خواهیم هرچه زودتر در صورت یافتن آسیب‌پذیری‌ها از شما بشنویم تا بتوانیم آن‌ها را به‌درستی رفع کنیم.
می‌خواهیم با شما همکاری کنیم تا بتوانیم بهتر از مشتریان و سامانه‌هایمان محافظت کنیم.
از شما می‌خواهیم:
یافته‌های خود را هرچه سریع‌تر با ایمیل به security-alert@fox-it.com بفرستید.
از آسیب‌پذیری سوءاستفاده نکنید؛ برای مثال با دانلود، ویرایش یا حذف داده‌ها. ما همیشه گزارش شما را جدی می‌گیریم و هر شک به آسیب‌پذیری را، حتی بدون مدرک، بررسی می‌کنیم.
مسئله را تا زمانی که حل نشده با دیگران در میان نگذارید.
از حملات به امنیت فیزیکی، مهندسی اجتماعی یا ابزارهای هک مانند پویشگرهای آسیب‌پذیری استفاده نکنید.
اطلاعات کافی برای بازتولید مسئله بدهید تا بتوانیم آن را هرچه سریع‌تر حل کنیم. معمولاً نشانی IP یا URL سامانه آسیب‌دیده و شرح آسیب‌پذیری کافی است، هرچند برای آسیب‌پذیری‌های پیچیده‌تر ممکن است اطلاعات بیشتری لازم باشد.
آنچه وعده می‌دهیم:
ظرف سه روز کاری با ارزیابی خود از گزارش و تاریخ حل پیش‌بینی‌شده به گزارش شما پاسخ می‌دهیم.
گزارش شما را محرمانه رسیدگی می‌کنیم و اطلاعات شخصی شما را بدون اجازه شما با اشخاص ثالث در میان نمی‌گذاریم. استثنای این مورد پلیس و قوه قضائیه در صورت تعقیب یا درخواست اطلاعات است.
شما را از پیشرفت حل مسئله مطلع نگه می‌داریم.
در ارتباط درباره مسئله گزارش‌شده، در صورت تمایل شما، نام شما را به‌عنوان طرفی که مسئله را کشف کرده ذکر می‌کنیم.
متأسفانه نمی‌توان از پیش تضمین کرد که علیه شما هیچ اقدام حقوقی انجام نشود. امیدواریم بتوانیم هر وضعیت را جداگانه بررسی کنیم. خود را از نظر اخلاقی موظف می‌دانیم اگر گمان کنیم ضعف یا داده‌ها سوءاستفاده می‌شوند، یا اینکه دانش درباره ضعف را با دیگران در میان گذاشته‌اید، شما را گزارش کنیم. می‌توانید مطمئن باشید که کشف تصادفی در محیط آنلاین ما به تعقیب قضایی نخواهد انجامید.
به‌عنوان سپاس از کمک شما، برای هر گزارش یک مسئله امنیتی که برای ما ناشناخته است پاداشی ارائه می‌دهیم. ارزش پاداش را بر پایه جدیت نقض و کیفیت گزارش تعیین می‌کنیم.
می‌کوشیم همه مشکلات را هرچه سریع‌تر حل کنیم، همه طرف‌های درگیر را مطلع نگه داریم و می‌خواهیم پس از حل مسئله، در هرگونه انتشار درباره آن درگیر باشیم.
نمونه: Bits of Freedom
وابستگی ما به زیرساخت دیجیتال پیوسته در حال افزایش است. این برای جامعه به‌طور کلی صادق است، اما برای خود ما نیز. بنابراین به باور ما دولت‌ها و سازمان‌ها (از جمله سازمان ما) باید قاطعانه به تأمین امنیت زیرساخت دیجیتال خود متعهد شوند. ما می‌دانیم که با وجود بهترین نیت‌ها و بیشترین دقت، ممکن است آسیب‌پذیری‌هایی در سامانه‌های ما وجود داشته باشد. اگر یکی از این ضعف‌ها را یافتید، دوست داریم از شما بشنویم تا بتوانیم مسئله را حل کنیم.
آنچه از شما انتظار داریم
هنگام بررسی یکی از سامانه‌های ما، تناسب حمله را در نظر داشته باشید. لازم نیست نشان دهید که وقتی وب‌سایت ما را در معرض بزرگ‌ترین حمله DDoS تاریخ اینترنت قرار می‌دهید، ممکن است سایت در دسترس نباشد. ما این را می‌دانیم. همچنین می‌فهمیم که اگر با بولدوزر به دفتر ما بزنید، احتمالاً می‌توانید یکی از لپ‌تاپ‌های ما را برباید.
این اصل تناسب هنگام نشان‌دادن خود آسیب‌پذیری نیز مرتبط است. نباید بیش از آنچه کاملاً برای تأیید اعتبار یافته‌تان لازم است داده بررسی یا تغییر دهید. برای مثال، اگر می‌توانید صفحه اصلی ما را تغییر دهید، فقط یک کلمه بی‌حاشیه به آن اضافه کنید به‌جای اینکه کل صفحه را تصاحب کنید. اگر می‌توانید به یک پایگاه داده دسترسی پیدا کنید، کافی است فهرست جدول‌هایی را که در آن هست یا شاید نخستین رکورد یکی از این جدول‌ها را به ما نشان دهید.
آسیب‌پذیری در یکی از سامانه‌های ما باید هرچه زودتر با ایمیل به security@bof.nl گزارش شود. ترجیحاً پیام خود را با OpenPGP رمزگذاری کنید. لطفاً اطلاعات کافی بدهید تا بتوانیم مسئله را بازتولید و بررسی کنیم.
کلید عمومی OpenPGP برای security@bof.nl
تا زمانی که به مسئله رسیدگی نکرده‌ایم و هنوز در چارچوب زمانی معقولی از زمان گزارش شما هستیم، دانش خود درباره آسیب‌پذیری را با طرف‌های دیگر به اشتراک نخواهید گذاشت.
هر اطلاعات محرمانه‌ای را که در طول بررسی خود به دست آورده‌اید به‌محض اینکه آسیب‌پذیری را حل کردیم حذف خواهید کرد.
آنچه می‌توانید از ما انتظار داشته باشید
ظرف سه روز به گزارش شما به‌طور مفصل پاسخ می‌دهیم. برآوردی از زمانی که برای رسیدگی به مسئله نیاز داریم ضمیمه خواهیم کرد. البته شما را از پیشرفت خود به‌طور منظم مطلع خواهیم کرد.
آسیب‌پذیری را هرچه زودتر حل خواهیم کرد. اینجا هم تناسب مهم است: زمان لازم برای رفع آسیب‌پذیری به چند عامل بستگی دارد، از جمله شدت و پیچیدگی مسئله پیش‌رو.
وقتی دستورالعمل‌های بیان‌شده در اینجا را رعایت کنید، در رابطه با گزارش شما علیه شما اقدام حقوقی نخواهیم کرد.
برای ما مهم است که اگر بخواهید از شما برای کاری که کرده‌اید قدردانی کنیم. نام شما را در انتشاری درباره آسیب‌پذیری فقط در صورتی که موافق باشید ذکر خواهیم کرد.
به‌عنوان سپاس از اینکه به محافظت بهتر از سامانه‌هایمان کمک کردید، می‌خواهیم هر گزارش آسیب‌پذیری‌ای را که در آن زمان برای ما ناشناخته بود پاداش دهیم. پاداش به شدت آسیب‌پذیری و کیفیت گزارش بستگی خواهد داشت.
اگر آسیب‌پذیری‌ای در نرم‌افزار شخص ثالثی که استفاده می‌کنیم بیابید و آن آسیب‌پذیری تحت پوشش برنامه bug bounty باشد، ما تلاش نخواهیم کرد آن پاداش را مطالبه کنیم؛ شما باید این کار را بکنید.