Bits of Freedom – Koordinált sebezhetőség-közzététel

A digitális infrastruktúrától való függőségünk folyamatosan nő. Ez igaz a társadalom egészére, de saját magunkra is. Ezért véleményünk szerint a kormányoknak és szervezeteknek (beleértve a mienket is) határozottan el kell köteleződniük digitális infrastruktúránk biztosítása mellett. Tisztában vagyunk azzal, hogy a legjobb szándékaink és legnagyobb gondosságunk ellenére is lehetnek sebezhetőségek a rendszereinkben. Ha Ön ezek közül a gyengeségek közül egyet megtalál, szívesen hallanánk Önről, hogy megoldhassuk a problémát.

Amit elvárunk Öntől

• Amikor az egyik rendszerünket vizsgálja, tartsa szem előtt a támadás arányosságát. Nem kell bizonyítania, hogy ha weboldalunkat az internet történetének legnagyobb DDoS-támadásának veti alá, az oldal elérhetetlenné válhat. Ezt tudjuk. Azt is megértjük, hogy ha buldózerrel behajt az irodánkba, valószínűleg el tudja ragadni az egyik laptopunkat.

• Ez az arányossági elv a sebezhetőség bemutatásakor is releváns. Nem szabad több adatot megvizsgálnia vagy módosítania, mint amennyi szigorúan szükséges a megállapítása érvényességének megerősítéséhez. Például, ha módosítani tudja a kezdőlapunkat, csak adjon hozzá egyetlen vitathatatlan szót ahelyett, hogy átvenné az egész oldalt. Ha hozzáférést szerezhet egy adatbázishoz, elegendő megmutatnia nekünk a benne lévő táblák listáját, vagy talán az egyik tábla első rekordját.

• A rendszereink egyikében lévő sebezhetőséget a lehető leghamarabb jelenteni kell a security@bof.nl címre küldött e-mailben. Lehetőleg titkosítsa az üzenetét OpenPGP használatával. Kérjük, adjon elegendő információt, hogy reprodukálhassuk és kivizsgálhassuk a problémát.

• A security@bof.nl nyilvános OpenPGP-kulcsa

• Nem osztja meg a sebezhetőségről szerzett tudását más felekkel, amíg nem foglalkoztunk a problémával, és még mindig ésszerű időkereten belül vagyunk attól kezdve, hogy jelentette a problémát.

• A vizsgálata során megszerzett összes bizalmas információt törölni fogja, amint megoldottuk a sebezhetőséget.

Amit tőlünk várhat

• Három napon belül részletesen válaszolunk a jelentésére. Mellékelünk egy becslést arról, mennyi időre lesz szükségünk a probléma kezeléséhez. Természetesen rendszeresen tájékoztatjuk Önt az előrehaladásunkról.

• A sebezhetőséget a lehető leghamarabb megoldjuk. Itt is fontos az arányosság: a sebezhetőség javításához szükséges idő több tényezőtől függ, köztük a szóban forgó probléma súlyosságától és bonyolultságától.

• Ha betartja az itt lefektetett irányelveket, nem teszünk jogi lépéseket Ön ellen a jelentésével kapcsolatban.

• Fontos számunkra, hogy elismerjük Önt azért, amit tett – ha szeretné. A nevét a sebezhetőségről szóló kiadványban csak akkor említjük meg, ha Ön ehhez hozzájárul.

• Köszönetképpen azért, hogy segít jobban megvédeni rendszereinket, szeretnénk jutalmazni minden olyan sebezhetőségi jelentést, amely akkoriban nem volt ismert számunkra. A jutalom a sebezhetőség súlyosságától és a jelentés minőségétől függ.

• Ha az általunk használt harmadik fél szoftverében talál sebezhetőséget, és erre a sebezhetőségre bug bounty program vonatkozik, mi nem próbáljuk igényelni ezt a jutalmat; Önnek kell ezt megtennie.