Bits of Freedom - समन्वित भेद्यता प्रकटीकरण

डिजिटल अवसंरचना पर हमारी निर्भरता लगातार बढ़ रही है। यह पूरे समाज पर लागू होता है, लेकिन स्वयं हम पर भी। इसलिए हमारी राय है कि सरकारों और संगठनों (हमारे सहित) को हमारी डिजिटल अवसंरचना को सुरक्षित करने के लिए दृढ़ता से प्रतिबद्ध होना चाहिए। हम समझते हैं कि हमारे सर्वोत्तम इरादों और अत्यधिक सावधानी के बावजूद हमारे सिस्टम में भेद्यताएँ हो सकती हैं। यदि आपको इनमें से कोई कमज़ोरी मिलती है, तो हम आपसे सुनना पसंद करेंगे ताकि हम समस्या हल कर सकें।

हम आपसे क्या अपेक्षा करते हैं

• जब आप हमारे किसी सिस्टम की जाँच कर रहे हों, तो हमले की आनुपातिकता का ध्यान रखें। यह दिखाने की कोई ज़रूरत नहीं कि यदि आप हमारी वेबसाइट पर इंटरनेट के इतिहास का सबसे बड़ा DDoS हमला करें, तो साइट पहुँच से बाहर हो सकती है। हम यह जानते हैं। हम यह भी समझते हैं कि यदि आप हमारे दफ़्तर में बुलडोज़र घुसा दें, तो आप शायद हमारा एक लैपटॉप उठा सकेंगे।

• आनुपातिकता का यह सिद्धांत भेद्यता को प्रदर्शित करते समय भी प्रासंगिक है। अपने निष्कर्ष की वैधता की पुष्टि के लिए आपको सख़्ती से आवश्यक से अधिक डेटा का निरीक्षण या संशोधन नहीं करना चाहिए। उदाहरण के लिए, यदि आप हमारा होमपेज संशोधित कर सकते हैं, तो पूरे पेज पर कब्ज़ा करने के बजाय उसमें केवल एक गैर-विवादास्पद शब्द जोड़ दें। यदि आप किसी डेटाबेस तक पहुँच पा सकते हैं, तो हमें उसमें मौजूद तालिकाओं की सूची, या शायद उन तालिकाओं में से किसी की पहली रिकॉर्ड दिखाना पर्याप्त है।

• हमारे किसी सिस्टम में मिली भेद्यता की रिपोर्ट यथाशीघ्र security@bof.nl पर ईमेल भेजकर की जानी चाहिए। बेहतर होगा कि आप अपना संदेश OpenPGP से एन्क्रिप्ट करें। कृपया पर्याप्त जानकारी दें ताकि हम समस्या को पुनः उत्पन्न और उसकी जाँच कर सकें।

• security@bof.nl की सार्वजनिक OpenPGP कुंजी

• जब तक हमने समस्या का समाधान नहीं कर लिया है और आपके रिपोर्ट करने के बाद अभी भी उचित समय-सीमा के भीतर हैं, तब तक आप भेद्यता के अपने ज्ञान को अन्य पक्षों के साथ साझा नहीं करेंगे।

• जैसे ही हम भेद्यता हल कर लें, आप अपनी जाँच के दौरान प्राप्त सारी गोपनीय जानकारी हटा देंगे।

आप हमसे क्या अपेक्षा कर सकते हैं

• हम तीन दिनों के भीतर आपकी रिपोर्ट का विस्तृत जवाब देंगे। हम समस्या के समाधान के लिए आवश्यक समय का अनुमान शामिल करेंगे। बेशक, हम अपनी प्रगति के बारे में आपको नियमित रूप से सूचित करते रहेंगे।

• हम भेद्यता का यथाशीघ्र समाधान करेंगे। यहाँ भी आनुपातिकता महत्वपूर्ण है: भेद्यता ठीक करने में लगने वाला समय कई कारकों पर निर्भर करता है, जिनमें संबंधित समस्या की गंभीरता और जटिलता शामिल हैं।

• जब आप यहाँ दिए गए दिशानिर्देशों का पालन करेंगे, तो हम आपकी रिपोर्ट के संबंध में आपके खिलाफ कानूनी कार्रवाई नहीं करेंगे।

• आपने जो किया उसके लिए आपको श्रेय देना हमारे लिए महत्वपूर्ण है - यदि आप चाहें। हम भेद्यता से संबंधित किसी प्रकाशन में आपका नाम केवल तभी उल्लिखित करेंगे जब आप इससे सहमत हों।

• हमारे सिस्टम को बेहतर ढंग से सुरक्षित करने में मदद के लिए धन्यवाद स्वरूप, हम उस समय हमें अज्ञात रही हर भेद्यता की रिपोर्ट को पुरस्कृत करना चाहेंगे। पुरस्कार भेद्यता की गंभीरता और रिपोर्ट की गुणवत्ता पर निर्भर करेगा।

• यदि आपको हमारे द्वारा उपयोग किए जाने वाले तृतीय-पक्ष सॉफ़्टवेयर में कोई भेद्यता मिलती है और वह भेद्यता किसी बग बाउंटी कार्यक्रम के अंतर्गत आती है, तो हम इस बाउंटी का दावा करने का प्रयास नहीं करेंगे; आपको करना चाहिए।