Bits of Freedom - Pengungkapan Kerentanan Terkoordinasi

Ketergantungan kita pada infrastruktur digital terus meningkat. Hal ini berlaku bagi masyarakat secara keseluruhan, tetapi juga bagi kami sendiri. Karena itu, menurut pendapat kami, pemerintah dan organisasi (termasuk organisasi kami) harus berkomitmen kuat untuk mengamankan infrastruktur digital kami. Kami menyadari bahwa, meskipun kami memiliki niat terbaik dan kehati-hatian terbesar, kerentanan mungkin ada dalam sistem kami. Jika Anda menemukan salah satu kelemahan tersebut, kami ingin mendengar kabar dari Anda agar kami dapat menyelesaikan masalah tersebut.

Yang kami harapkan dari Anda

Ketika Anda menyelidiki salah satu sistem kami, ingatlah proporsionalitas serangan. Tidak perlu mendemonstrasikan bahwa ketika Anda menjadikan situs web kami sasaran serangan DDoS terbesar dalam sejarah internet, situs tersebut dapat menjadi tidak dapat diakses. Kami tahu itu. Kami juga memahami bahwa jika Anda mengemudikan buldoser ke kantor kami, Anda mungkin akan dapat menyambar salah satu laptop kami.
Prinsip proporsionalitas ini juga relevan ketika mendemonstrasikan kerentanan itu sendiri. Anda tidak boleh memeriksa atau mengubah lebih banyak data daripada yang benar-benar diperlukan untuk mengonfirmasi keabsahan temuan Anda. Misalnya, jika Anda dapat mengubah beranda kami, cukup tambahkan satu kata yang tidak kontroversial di sana, alih-alih mengambil alih seluruh halaman. Jika Anda bisa mendapatkan akses ke sebuah basis data, cukup tunjukkan kepada kami daftar tabel yang ada di dalamnya, atau mungkin rekaman pertama dari salah satu tabel tersebut.
Kerentanan pada salah satu sistem kami harus dilaporkan sesegera mungkin dengan mengirim email ke security@bof.nl. Sebaiknya Anda mengenkripsi pesan Anda menggunakan OpenPGP. Mohon berikan informasi yang cukup agar kami dapat mereproduksi dan menyelidiki masalah tersebut.
Kunci publik OpenPGP untuk security@bof.nl
Anda tidak akan membagikan pengetahuan Anda tentang kerentanan kepada pihak lain selama kami belum menangani masalah tersebut dan kami masih berada dalam jangka waktu yang wajar sejak Anda melaporkan masalah tersebut.
Anda akan menghapus semua informasi rahasia yang Anda peroleh selama penyelidikan segera setelah kami menyelesaikan kerentanan tersebut.

Yang dapat Anda harapkan dari kami

Kami akan menanggapi laporan Anda dalam waktu tiga hari secara terperinci. Kami akan menyertakan perkiraan waktu yang kami perlukan untuk menangani masalah tersebut. Tentu saja, kami akan secara berkala memberi kabar kepada Anda tentang kemajuan kami.
Kami akan menyelesaikan kerentanan secepat mungkin. Di sini juga proporsionalitas penting: waktu yang diperlukan untuk memperbaiki kerentanan bergantung pada beberapa faktor, di antaranya tingkat keparahan dan kompleksitas masalah yang dihadapi.
Jika Anda mengikuti pedoman yang diuraikan di sini, kami tidak akan mengambil tindakan hukum terhadap Anda terkait laporan Anda.
Penting bagi kami untuk memberikan penghargaan atas apa yang Anda lakukan - jika Anda menginginkannya. Kami akan menyebut nama Anda dalam publikasi tentang kerentanan tersebut hanya jika Anda menyetujuinya.
Sebagai ucapan terima kasih karena telah membantu kami melindungi sistem kami dengan lebih baik, kami ingin memberi imbalan untuk setiap laporan kerentanan yang belum kami ketahui pada saat itu. Imbalan akan bergantung pada tingkat keparahan kerentanan dan kualitas laporan.
Jika Anda menemukan kerentanan pada perangkat lunak pihak ketiga yang kami gunakan dan kerentanan tersebut tercakup dalam program bug bounty, kami tidak akan mencoba mengklaim imbalan tersebut; Anda yang seharusnya mengklaimnya.