Bits of Freedom - Divulgation coordonnée des vulnérabilités

Notre dépendance à l'égard de l'infrastructure numérique ne cesse de croître. Cela vaut pour la société dans son ensemble, mais aussi pour nous-mêmes. Nous estimons donc que les gouvernements et les organisations (y compris la nôtre) devraient s'engager fermement à sécuriser notre infrastructure numérique. Nous sommes conscients que, malgré nos meilleures intentions et tout notre soin, des vulnérabilités peuvent exister dans nos systèmes. Si vous découvrez l'une de ces faiblesses, nous serions ravis de vous entendre afin de résoudre le problème.

Ce que nous attendons de vous

Lorsque vous examinez l'un de nos systèmes, gardez à l'esprit la proportionnalité de l'attaque. Il n'est pas nécessaire de démontrer que, si vous soumettez notre site web à la plus grande attaque DDoS de l'histoire d'internet, le site peut devenir inaccessible. Nous le savons. Nous comprenons aussi que si vous faites entrer un bulldozer dans nos bureaux, vous pourrez probablement vous emparer d'un de nos ordinateurs portables.
Ce principe de proportionnalité vaut aussi pour la démonstration de la vulnérabilité elle-même. Vous ne devez pas consulter ni modifier plus de données que strictement nécessaire pour confirmer la validité de votre découverte. Par exemple, si vous pouvez modifier notre page d'accueil, ajoutez simplement un seul mot non controversé plutôt que de prendre le contrôle de toute la page. Si vous pouvez accéder à une base de données, il suffit de nous montrer la liste des tables qu'elle contient, ou peut-être le premier enregistrement de l'une d'elles.
Une vulnérabilité dans l'un de nos systèmes doit être signalée dès que possible en envoyant un courriel à security@bof.nl. De préférence, chiffrez votre message avec OpenPGP. Veuillez fournir suffisamment d'informations pour que nous puissions reproduire et examiner le problème.
La clé publique OpenPGP de security@bof.nl
Vous ne partagerez pas votre connaissance de la vulnérabilité avec d'autres parties tant que nous n'aurons pas traité le problème et que nous serons encore dans un délai raisonnable depuis votre signalement.
Vous supprimerez toutes les informations confidentielles obtenues au cours de votre enquête dès que nous aurons résolu la vulnérabilité.

Ce que vous pouvez attendre de nous

Nous répondrons à votre signalement dans un délai de trois jours de manière détaillée. Nous inclurons une estimation du temps dont nous aurons besoin pour traiter le problème. Bien sûr, nous vous tiendrons régulièrement informé de nos progrès.
Nous résoudrons la vulnérabilité dès que possible. Ici aussi, la proportionnalité est importante : le temps nécessaire pour corriger une vulnérabilité dépend de plusieurs facteurs, dont la gravité et la complexité du problème en question.
Si vous suivez les lignes directrices exposées ici, nous n'engagerons pas d'action en justice contre vous au sujet de votre signalement.
Il est important pour nous de vous créditer pour ce que vous avez fait, si vous le souhaitez. Nous mentionnerons votre nom dans une publication relative à la vulnérabilité uniquement si vous y consentez.
Pour vous remercier de nous aider à mieux protéger nos systèmes, nous aimerions récompenser chaque signalement d'une vulnérabilité qui nous était inconnue à l'époque. La récompense dépendra de la gravité de la vulnérabilité et de la qualité du signalement.
Si vous trouvez une vulnérabilité dans un logiciel tiers que nous utilisons et que cette vulnérabilité est couverte par un programme de primes aux bogues, nous n'essaierons pas de réclamer cette prime ; c'est à vous de le faire.