Fox-IT समन्वित भेद्यता प्रकटीकरण

Fox-IT में हम अपने सिस्टम, अपने नेटवर्क और अपने उत्पादों की सुरक्षा को अत्यंत महत्वपूर्ण मानते हैं। सुरक्षा के प्रति हमारी अत्यधिक सावधानी के बावजूद कमज़ोर बिंदु बने रह सकते हैं। यदि आपको ऐसी कोई कमज़ोरी मिली है, तो हम उसके बारे में यथाशीघ्र जानना चाहेंगे ताकि हम जितनी जल्दी हो सके उचित कदम उठा सकें।

कमज़ोर बिंदु दो तरीकों से खोजे जा सकते हैं: आप किसी डिजिटल वातावरण के सामान्य उपयोग के दौरान संयोग से कुछ पा सकते हैं, या आप उन्हें खोजने की स्पष्ट रूप से पूरी कोशिश कर सकते हैं।

हमारी ज़िम्मेदार प्रकटीकरण नीति कमज़ोर बिंदुओं को खोजने के लिए हमारे व्यावसायिक नेटवर्क को सक्रिय रूप से स्कैन करने का निमंत्रण नहीं है। हम अपने व्यावसायिक नेटवर्क की निगरानी स्वयं करते हैं। इसका मतलब है कि स्कैन का पता चलने की और हमारे सिक्योरिटी ऑपरेशन सेंटर (SOC) द्वारा जाँच किए जाने की उच्च संभावना है, जिसके परिणामस्वरूप अनावश्यक लागत आ सकती है। हालाँकि, आपको हमारे उत्पादों में भेद्यताएँ किसी ऑफ़लाइन गैर-उत्पादन वातावरण में सक्रिय रूप से खोजने और अपने निष्कर्ष हमें बताने के लिए आमंत्रित किया जाता है। हमारे ग्राहकों के प्रति हमारी ज़िम्मेदारी का अर्थ है कि हमारा इरादा उनकी अवसंरचना पर हैकिंग प्रयासों को प्रोत्साहित करना नहीं है; फिर भी, यदि भेद्यताएँ मिलती हैं तो हम आपसे यथाशीघ्र सुनना चाहेंगे, ताकि हम उन्हें उचित रूप से हल कर सकें।

हम अपने ग्राहकों और अपने सिस्टम को बेहतर ढंग से सुरक्षित करने में सक्षम होने के लिए आपके साथ काम करना चाहेंगे।

हम आपसे अनुरोध करते हैं कि आप:

• अपने निष्कर्ष यथाशीघ्र security-alert@fox-it.com पर ईमेल करें।

• भेद्यता का दुरुपयोग न करें; उदाहरण के लिए डेटा डाउनलोड, संपादित या हटाकर। हम हमेशा आपकी रिपोर्ट को गंभीरता से लेंगे और भेद्यता के किसी भी संदेह की जाँच करेंगे, प्रमाण के बिना भी।

• समस्या हल होने तक उसे दूसरों के साथ साझा न करें।

• भौतिक सुरक्षा पर हमलों, सोशल इंजीनियरिंग या भेद्यता स्कैनर जैसे हैकिंग उपकरणों का उपयोग न करें।

• समस्या को पुनः उत्पन्न करने के लिए पर्याप्त जानकारी दें ताकि हम उसे यथाशीघ्र हल कर सकें। आम तौर पर प्रभावित सिस्टम का IP पता या URL और भेद्यता का विवरण पर्याप्त होता है, हालाँकि अधिक जटिल भेद्यताओं के लिए और जानकारी की ज़रूरत पड़ सकती है।

हमारा वचन:

• हम आपकी रिपोर्ट का जवाब तीन कार्य दिवसों के भीतर रिपोर्ट के अपने मूल्यांकन और अनुमानित समाधान तिथि के साथ देंगे।

• हम आपकी रिपोर्ट को गोपनीय रूप से संभालेंगे, और आपकी अनुमति के बिना आपकी व्यक्तिगत जानकारी तृतीय पक्षों के साथ साझा नहीं करेंगे। इसका अपवाद अभियोजन की स्थिति में या जानकारी माँगे जाने पर पुलिस और न्यायपालिका हैं।

• हम समस्या के समाधान की प्रगति के बारे में आपको सूचित रखेंगे।

• रिपोर्ट की गई समस्या के बारे में संवाद में, यदि आप चाहें तो हम समस्या खोजने वाले पक्ष के रूप में आपका नाम बताएँगे।

• दुर्भाग्य से यह पहले से गारंटी देना संभव नहीं है कि आपके खिलाफ कोई कानूनी कार्रवाई नहीं की जाएगी। हम आशा करते हैं कि हर स्थिति पर अलग-अलग विचार कर सकेंगे। यदि हमें संदेह हो कि कमज़ोरी या डेटा का दुरुपयोग हो रहा है, या आपने कमज़ोरी का ज्ञान दूसरों के साथ साझा किया है, तो हम खुद को नैतिक रूप से आपकी रिपोर्ट करने के लिए बाध्य मानते हैं। आप निश्चिंत रह सकते हैं कि हमारे ऑनलाइन वातावरण में आकस्मिक खोज से अभियोजन नहीं होगा।

• आपकी मदद के धन्यवाद स्वरूप, हम ऐसी हर सुरक्षा समस्या की रिपोर्ट के लिए पुरस्कार देते हैं जो हमें ज्ञात नहीं है। हम पुरस्कार का मूल्य उल्लंघन की गंभीरता और रिपोर्ट की गुणवत्ता के आधार पर तय करते हैं।

हम सभी समस्याओं को यथाशीघ्र हल करने, सभी संबंधित पक्षों को सूचित रखने का प्रयास करते हैं, और समस्या हल होने के बाद उसके बारे में किसी भी प्रकाशन में शामिल होना चाहेंगे।

उदाहरण: Bits of Freedom

डिजिटल अवसंरचना पर हमारी निर्भरता लगातार बढ़ रही है। यह पूरे समाज पर लागू होता है, लेकिन स्वयं हम पर भी। इसलिए हमारी राय है कि सरकारों और संगठनों (हमारे सहित) को हमारी डिजिटल अवसंरचना को सुरक्षित करने के लिए दृढ़ता से प्रतिबद्ध होना चाहिए। हम समझते हैं कि हमारे सर्वोत्तम इरादों और अत्यधिक सावधानी के बावजूद हमारे सिस्टम में भेद्यताएँ हो सकती हैं। यदि आपको इनमें से कोई कमज़ोरी मिलती है, तो हम आपसे सुनना पसंद करेंगे ताकि हम समस्या हल कर सकें।

हम आपसे क्या अपेक्षा करते हैं

• जब आप हमारे किसी सिस्टम की जाँच कर रहे हों, तो हमले की आनुपातिकता का ध्यान रखें। यह दिखाने की कोई ज़रूरत नहीं कि यदि आप हमारी वेबसाइट पर इंटरनेट के इतिहास का सबसे बड़ा DDoS हमला करें, तो साइट पहुँच से बाहर हो सकती है। हम यह जानते हैं। हम यह भी समझते हैं कि यदि आप हमारे दफ़्तर में बुलडोज़र घुसा दें, तो आप शायद हमारा एक लैपटॉप उठा सकेंगे।

• आनुपातिकता का यह सिद्धांत भेद्यता को प्रदर्शित करते समय भी प्रासंगिक है। अपने निष्कर्ष की वैधता की पुष्टि के लिए आपको सख़्ती से आवश्यक से अधिक डेटा का निरीक्षण या संशोधन नहीं करना चाहिए। उदाहरण के लिए, यदि आप हमारा होमपेज संशोधित कर सकते हैं, तो पूरे पेज पर कब्ज़ा करने के बजाय उसमें केवल एक गैर-विवादास्पद शब्द जोड़ दें। यदि आप किसी डेटाबेस तक पहुँच पा सकते हैं, तो हमें उसमें मौजूद तालिकाओं की सूची, या शायद उन तालिकाओं में से किसी की पहली रिकॉर्ड दिखाना पर्याप्त है।

• हमारे किसी सिस्टम में मिली भेद्यता की रिपोर्ट यथाशीघ्र security@bof.nl पर ईमेल भेजकर की जानी चाहिए। बेहतर होगा कि आप अपना संदेश OpenPGP से एन्क्रिप्ट करें। कृपया पर्याप्त जानकारी दें ताकि हम समस्या को पुनः उत्पन्न और उसकी जाँच कर सकें।

• security@bof.nl की सार्वजनिक OpenPGP कुंजी

• जब तक हमने समस्या का समाधान नहीं कर लिया है और आपके रिपोर्ट करने के बाद अभी भी उचित समय-सीमा के भीतर हैं, तब तक आप भेद्यता के अपने ज्ञान को अन्य पक्षों के साथ साझा नहीं करेंगे।

• जैसे ही हम भेद्यता हल कर लें, आप अपनी जाँच के दौरान प्राप्त सारी गोपनीय जानकारी हटा देंगे।

आप हमसे क्या अपेक्षा कर सकते हैं

• हम तीन दिनों के भीतर आपकी रिपोर्ट का विस्तृत जवाब देंगे। हम समस्या के समाधान के लिए आवश्यक समय का अनुमान शामिल करेंगे। बेशक, हम अपनी प्रगति के बारे में आपको नियमित रूप से सूचित करते रहेंगे।

• हम भेद्यता का यथाशीघ्र समाधान करेंगे। यहाँ भी आनुपातिकता महत्वपूर्ण है: भेद्यता ठीक करने में लगने वाला समय कई कारकों पर निर्भर करता है, जिनमें संबंधित समस्या की गंभीरता और जटिलता शामिल हैं।

• जब आप यहाँ दिए गए दिशानिर्देशों का पालन करेंगे, तो हम आपकी रिपोर्ट के संबंध में आपके खिलाफ कानूनी कार्रवाई नहीं करेंगे।

• आपने जो किया उसके लिए आपको श्रेय देना हमारे लिए महत्वपूर्ण है - यदि आप चाहें। हम भेद्यता से संबंधित किसी प्रकाशन में आपका नाम केवल तभी उल्लिखित करेंगे जब आप इससे सहमत हों।

• हमारे सिस्टम को बेहतर ढंग से सुरक्षित करने में मदद के लिए धन्यवाद स्वरूप, हम उस समय हमें अज्ञात रही हर भेद्यता की रिपोर्ट को पुरस्कृत करना चाहेंगे। पुरस्कार भेद्यता की गंभीरता और रिपोर्ट की गुणवत्ता पर निर्भर करेगा।

यदि आपको हमारे द्वारा उपयोग किए जाने वाले तृतीय-पक्ष सॉफ़्टवेयर में कोई भेद्यता मिलती है और वह भेद्यता किसी बग बाउंटी कार्यक्रम के अंतर्गत आती है, तो हम इस बाउंटी का दावा करने का प्रयास नहीं करेंगे; आपको करना चाहिए।