Coordinated vulnerability disclosureBits of Freedom – افشای هماهنگ آسیب‌پذیری
وابستگی ما به زیرساخت دیجیتال پیوسته در حال افزایش است. این برای جامعه به‌طور کلی صادق است، اما برای خود ما نیز. بنابراین به باور ما دولت‌ها و سازمان‌ها (از جمله سازمان ما) باید قاطعانه به تأمین امنیت زیرساخت دیجیتال خود متعهد شوند. ما می‌دانیم که با وجود بهترین نیت‌ها و بیشترین دقت، ممکن است آسیب‌پذیری‌هایی در سامانه‌های ما وجود داشته باشد. اگر یکی از این ضعف‌ها را یافتید، دوست داریم از شما بشنویم تا بتوانیم مسئله را حل کنیم.
آنچه از شما انتظار داریم
هنگام بررسی یکی از سامانه‌های ما، تناسب حمله را در نظر داشته باشید. لازم نیست نشان دهید که وقتی وب‌سایت ما را در معرض بزرگ‌ترین حمله DDoS تاریخ اینترنت قرار می‌دهید، ممکن است سایت در دسترس نباشد. ما این را می‌دانیم. همچنین می‌فهمیم که اگر با بولدوزر به دفتر ما بزنید، احتمالاً می‌توانید یکی از لپ‌تاپ‌های ما را برباید.
این اصل تناسب هنگام نشان‌دادن خود آسیب‌پذیری نیز مرتبط است. نباید بیش از آنچه کاملاً برای تأیید اعتبار یافته‌تان لازم است داده بررسی یا تغییر دهید. برای مثال، اگر می‌توانید صفحه اصلی ما را تغییر دهید، فقط یک کلمه بی‌حاشیه به آن اضافه کنید، به‌جای اینکه کل صفحه را تصاحب کنید. اگر می‌توانید به یک پایگاه داده دسترسی پیدا کنید، کافی است فهرست جدول‌هایی را که در آن هست یا شاید نخستین رکورد یکی از این جدول‌ها را به ما نشان دهید.
آسیب‌پذیری در یکی از سامانه‌های ما باید هرچه زودتر با ایمیل به security@bof.nl گزارش شود. ترجیحاً پیام خود را با OpenPGP رمزگذاری کنید. لطفاً اطلاعات کافی بدهید تا بتوانیم مسئله را بازتولید و بررسی کنیم.
کلید عمومی OpenPGP برای security@bof.nl
تا زمانی که به مسئله رسیدگی نکرده‌ایم و هنوز در چارچوب زمانی معقولی از زمان گزارش شما هستیم، دانش خود درباره آسیب‌پذیری را با طرف‌های دیگر به اشتراک نخواهید گذاشت.
هر اطلاعات محرمانه‌ای را که در طول بررسی خود به دست آورده‌اید به‌محض اینکه آسیب‌پذیری را حل کردیم حذف خواهید کرد.
آنچه می‌توانید از ما انتظار داشته باشید
ظرف سه روز به گزارش شما به‌طور مفصل پاسخ می‌دهیم. برآوردی از زمانی که برای رسیدگی به مسئله نیاز داریم ضمیمه خواهیم کرد. البته شما را از پیشرفت خود به‌طور منظم مطلع خواهیم کرد.
آسیب‌پذیری را هرچه زودتر حل خواهیم کرد. اینجا هم تناسب مهم است: زمان لازم برای رفع آسیب‌پذیری به چند عامل بستگی دارد، از جمله شدت و پیچیدگی مسئله پیش‌رو.
وقتی دستورالعمل‌های بیان‌شده در اینجا را رعایت کنید، در رابطه با گزارش شما علیه شما اقدام حقوقی نخواهیم کرد.
برای ما مهم است که اگر بخواهید از شما برای کاری که کرده‌اید قدردانی کنیم. نام شما را در انتشاری درباره آسیب‌پذیری فقط در صورتی که موافق باشید ذکر خواهیم کرد.
به‌عنوان سپاس از اینکه به محافظت بهتر از سامانه‌هایمان کمک کردید، می‌خواهیم هر گزارش آسیب‌پذیری‌ای را که در آن زمان برای ما ناشناخته بود پاداش دهیم. پاداش به شدت آسیب‌پذیری و کیفیت گزارش بستگی خواهد داشت.
اگر آسیب‌پذیری‌ای در نرم‌افزار شخص ثالثی که استفاده می‌کنیم بیابید و آن آسیب‌پذیری تحت پوشش برنامه bug bounty باشد، ما تلاش نخواهیم کرد آن پاداش را مطالبه کنیم؛ شما باید این کار را بکنید.