Bits of Freedom - Koordinirano otkrivanje ranjivosti

Naša ovisnost o digitalnoj infrastrukturi stalno raste. To vrijedi za društvo u cjelini, ali i za nas same. Stoga smatramo da se vlade i organizacije (uključujući našu) trebaju snažno posvetiti zaštiti naše digitalne infrastrukture. Svjesni smo da unatoč našim najboljim namjerama i najvećoj pažnji u našim sustavima mogu postojati ranjivosti. Ako pronađete neku od tih slabosti, rado bismo čuli od vas kako bismo mogli riješiti problem.

Što očekujemo od vas

• Kada istražujete jedan od naših sustava, imajte na umu proporcionalnost napada. Nema potrebe demonstrirati da kada našu web-stranicu izložite najvećem DDoS napadu u povijesti interneta, stranica može postati nedostupna. To znamo. Također razumijemo da ako buldožerom uđete u naš ured, vjerojatno ćete moći zgrabiti jedno od naših prijenosnih računala.

• Ovo načelo proporcionalnosti relevantno je i pri demonstraciji same ranjivosti. Ne biste trebali pregledavati ni mijenjati više podataka nego što je nužno za potvrdu valjanosti vašeg nalaza. Primjerice, ako možete izmijeniti našu početnu stranicu, samo joj dodajte jednu nekontroverznu riječ umjesto da preuzmete cijelu stranicu. Ako možete dobiti pristup bazi podataka, dovoljno je pokazati nam popis tablica u njoj ili možda prvi zapis u jednoj od tih tablica.

• Ranjivost u jednom od naših sustava treba prijaviti što je prije moguće slanjem e-pošte na security@bof.nl. Poželjno je da poruku šifrirate pomoću OpenPGP-a. Molimo navedite dovoljno informacija da možemo reproducirati i istražiti problem.

• Javni OpenPGP ključ za security@bof.nl

• Nećete dijeliti svoje znanje o ranjivosti s drugim stranama dok se nismo pozabavili problemom i dok smo još u razumnom roku od trenutka kada ste prijavili problem.

• Izbrisat ćete sve povjerljive informacije koje ste dobili tijekom istrage čim otklonimo ranjivost.

Što možete očekivati od nas

• Odgovorit ćemo na vaše izvješće u roku od tri dana na detaljan način. Uključit ćemo procjenu vremena koje će nam trebati da se pozabavimo problemom. Naravno, redovito ćemo vas obavještavati o našem napretku.

• Ranjivost ćemo otkloniti što je prije moguće. I ovdje je proporcionalnost važna: vrijeme potrebno za popravak ranjivosti ovisi o nekoliko čimbenika, među kojima su ozbiljnost i složenost predmetnog problema.

• Kada slijedite ovdje utvrđene smjernice, nećemo poduzeti pravne radnje protiv vas u vezi s vašim izvješćem.

• Važno nam je priznati vam ono što ste učinili - ako to želite. Vaše ćemo ime spomenuti u objavi o ranjivosti samo ako se s tim složite.

• Kao zahvalu za pomoć u boljoj zaštiti naših sustava, željeli bismo nagraditi svako izvješće o ranjivosti koja nam u to vrijeme nije bila poznata. Nagrada će ovisiti o ozbiljnosti ranjivosti i kvaliteti izvješća.

• Ako pronađete ranjivost u softveru treće strane koji koristimo i ta je ranjivost obuhvaćena programom nagrađivanja za greške (bug bounty), nećemo pokušati zatražiti tu nagradu; vi biste trebali.