Bits of Freedom – חשיפה מתואמת של פגיעויות

התלות שלנו בתשתית דיגיטלית הולכת וגוברת. הדבר נכון לחברה כולה, אך גם לנו עצמנו. לכן דעתנו היא שממשלות וארגונים (כולל שלנו) צריכים להתחייב בתוקף להבטחת התשתית הדיגיטלית שלנו. אנו מבינים שלמרות כוונותינו הטובות ביותר והזהירות הרבה ביותר, ייתכן שקיימות פגיעויות במערכות שלנו. אם אכן מצאתם אחת מהחולשות הללו, נשמח לשמוע מכם כדי שנוכל לפתור את הבעיה.

מה אנו מצפים מכם

• כשאתם חוקרים את אחת המערכות שלנו, זכרו את המידתיות של ההתקפה. אין צורך להדגים ש כשאתם מטילים על האתר שלנו את התקפת ה-DDoS הגדולה ביותר בהיסטוריית האינטרנט, האתר עלול להיות בלתי נגיש. אנחנו יודעים זאת. אנו מבינים גם שאם תנהגו בדחפור לתוך המשרד שלנו, כנראה שתצליחו לחטוף אחד מהמחשבים הניידים שלנו.

• עקרון המידתיות הזה רלוונטי גם בהדגמת הפגיעות עצמה. אין לבדוק או לשנות יותר נתונים מהנדרש בהחלט כדי לאשר את תקפות הממצא שלכם. לדוגמה, אם אתם יכולים לשנות את דף הבית שלנו, פשוט הוסיפו לו מילה אחת לא שנויה במחלוקת במקום להשתלט על הדף כולו. אם תוכלו לקבל גישה למסד נתונים, מספיק להראות לנו רשימה של הטבלאות שבו, או אולי את הרשומה הראשונה באחת הטבלאות הללו.

• יש לדווח על פגיעות באחת המערכות שלנו בהקדם האפשרי על ידי שליחת דוא"ל אל security@bof.nl. רצוי שתצפינו את ההודעה שלכם באמצעות OpenPGP. אנא ספקו מידע מספיק כדי שנוכל לשחזר ולחקור את הבעיה.

• מפתח ה-OpenPGP הציבורי עבור security@bof.nl

• לא תשתפו את הידע שלכם על הפגיעות עם צדדים אחרים כל עוד לא טיפלנו בבעיה ועדיין בתוך מסגרת זמן סבירה מאז שדיווחתם על הבעיה.

• תמחקו את כל המידע החסוי שהשגתם במהלך החקירה שלכם ברגע שנפתור את הפגיעות.

מה אתם יכולים לצפות מאיתנו

• נשיב לדיווח שלכם בתוך שלושה ימים באופן מפורט. נכלול הערכה של הזמן שיידרש לנו כדי לטפל בבעיה. כמובן, נעדכן אתכם באופן סדיר בהתקדמותנו.

• נפתור את הפגיעות בהקדם האפשרי. גם כאן מידתיות חשובה: משך הזמן הנדרש לתיקון פגיעות תלוי בכמה גורמים, ובהם חומרת הבעיה ומורכבותה.

• כאשר אתם פועלים לפי ההנחיות המפורטות כאן, לא ננקוט פעולה משפטית נגדכם בנוגע לדיווח שלכם.

• חשוב לנו לתת לכם קרדיט על מה שעשיתם - אם תרצו. נזכיר את שמכם בפרסום בנוגע לפגיעות רק אם תסכימו לכך.

• כתודה על העזרה בהגנה טובה יותר על המערכות שלנו, נרצה לתגמל כל דיווח על פגיעות שהייתה לא ידועה לנו באותה עת. התגמול יהיה תלוי בחומרת הפגיעות ובאיכות הדיווח.

• אם תמצאו פגיעות בתוכנת צד שלישי שבה אנו משתמשים והפגיעות הזו מכוסה בתוכנית bug bounty, לא ננסה לתבוע את התגמול הזה; אתם צריכים לעשות זאת.