Bits of Freedom – koordinoitu haavoittuvuuksien julkistaminen

Riippuvuutemme digitaalisesta infrastruktuurista kasvaa jatkuvasti. Tämä pätee yhteiskuntaan kokonaisuutena, mutta myös meihin itseemme. Siksi olemme sitä mieltä, että hallitusten ja organisaatioiden (myös omamme) pitäisi sitoutua vahvasti digitaalisen infrastruktuurimme turvaamiseen. Ymmärrämme, että parhaista aikeistamme ja suurimmasta huolellisuudestamme huolimatta järjestelmissämme voi olla haavoittuvuuksia. Jos satut löytämään yhden näistä heikkouksista, kuulemme mielellämme sinusta, jotta voimme ratkaista ongelman.

Mitä odotamme sinulta

• Kun tutkit jotakin järjestelmäämme, pidä mielessä hyökkäyksen suhteellisuus. Ei ole tarpeen osoittaa, että kun kohdistat verkkosivustoomme internetin historian suurimman DDoS-hyökkäyksen, sivusto voi muuttua tavoittamattomaksi. Tiedämme sen. Ymmärrämme myös, että jos ajat puskutraktorilla toimistoomme, saat todennäköisesti napattua yhden kannettavistamme.

• Tämä suhteellisuusperiaate on olennainen myös haavoittuvuuden itsensä osoittamisessa. Älä tarkastele tai muokkaa enempää dataa kuin on ehdottoman välttämätöntä löydöksesi pätevyyden vahvistamiseksi. Jos esimerkiksi pystyt muokkaamaan etusivuamme, lisää siihen vain yksi kiistaton sana sen sijaan, että valtaisit koko sivun. Jos pääset käsiksi tietokantaan, riittää, että näytät meille luettelon siellä olevista taulukoista tai ehkä jonkin taulukon ensimmäisen tietueen.

• Järjestelmämme haavoittuvuudesta tulisi ilmoittaa mahdollisimman pian lähettämällä sähköpostia osoitteeseen security@bof.nl. Mieluiten salaisit viestisi OpenPGP:llä. Anna riittävästi tietoa, jotta voimme toistaa ja tutkia ongelman.

• Julkinen OpenPGP-avain osoitteelle security@bof.nl

• Et jaa tietoasi haavoittuvuudesta muille osapuolille niin kauan kuin emme ole käsitelleet ongelmaa ja olemme edelleen kohtuullisessa aikarajassa siitä, kun ilmoitit ongelmasta.

• Poistat kaiken luottamuksellisen tiedon, jonka olet saanut tutkimuksesi aikana, heti kun olemme ratkaisseet haavoittuvuuden.

Mitä voit odottaa meiltä

• Vastaamme raporttiisi kolmen päivän kuluessa yksityiskohtaisesti. Liitämme mukaan arvion ajasta, jonka tarvitsemme ongelman ratkaisemiseen. Tietenkin pidämme sinut säännöllisesti ajan tasalla edistymisestämme.

• Ratkaisemme haavoittuvuuden mahdollisimman pian. Tässäkin suhteellisuus on tärkeää: haavoittuvuuden korjaamiseen tarvittava aika riippuu useista tekijöistä, muun muassa käsillä olevan ongelman vakavuudesta ja monimutkaisuudesta.

• Kun noudatat tässä esitettyjä ohjeita, emme ryhdy oikeustoimiin sinua vastaan raporttiisi liittyen.

• Meille on tärkeää antaa sinulle tunnustusta tekemästäsi – jos haluat. Mainitsemme nimesi haavoittuvuutta koskevassa julkaisussa vain, jos suostut siihen.

• Kiitokseksi siitä, että autat meitä suojaamaan järjestelmiämme paremmin, haluamme palkita jokaisen haavoittuvuusraportin, joka oli meille tuolloin tuntematon. Palkkio riippuu haavoittuvuuden vakavuudesta ja raportin laadusta.

• Jos löydät haavoittuvuuden käyttämästämme kolmannen osapuolen ohjelmistosta ja kyseinen haavoittuvuus kuuluu bug bounty -ohjelman piiriin, emme yritä vaatia tätä palkkiota; sinun pitäisi.