Bits of Freedom – Samræmd birting öryggisveikleika

Háð okkar stafrænum innviðum eykst stöðugt. Þetta á við um samfélagið í heild, en einnig um okkur sjálf. Það er því álit okkar að ríkisstjórnir og stofnanir (þar á meðal okkar eigin) ættu að skuldbinda sig eindregið til að tryggja öryggi stafrænna innviða okkar. Við gerum okkur grein fyrir því að þrátt fyrir bestu fyrirætlanir og mestu aðgát geta veikleikar verið til staðar í kerfum okkar. Ef þú finnur einn af þessum veikleikum þætti okkur vænt um að heyra frá þér svo við getum leyst vandamálið.

Það sem við væntum af þér

• Þegar þú rannsakar eitt af kerfum okkar skaltu hafa meðalhóf árásarinnar í huga. Það er engin þörf á að sýna fram á að þegar þú beitir vefsvæði okkar stærstu DDoS-árás í sögu internetsins getur vefsvæðið orðið óaðgengilegt. Við vitum það. Við skiljum líka að ef þú ekur jarðýtu inn á skrifstofuna okkar muntu líklega geta hrifsað eina af fartölvum okkar.

• Þessi meðalhófsregla á einnig við þegar veikleikinn sjálfur er sýndur. Þú ættir ekki að skoða eða breyta meiri gögnum en nauðsynlegt er til að staðfesta réttmæti niðurstöðu þinnar. Til dæmis, ef þú getur breytt heimasíðu okkar, bættu þá bara við einu óumdeildu orði í stað þess að taka yfir alla síðuna. Ef þú kemst inn í gagnagrunn nægir að sýna okkur lista yfir töflurnar sem þar eru, eða kannski fyrstu færsluna í einni þeirra.

• Tilkynna ætti veikleika í einu af kerfum okkar eins fljótt og auðið er með því að senda tölvupóst á security@bof.nl. Helst myndirðu dulkóða skilaboðin þín með OpenPGP. Vinsamlegast gefðu nægar upplýsingar svo við getum endurskapað og rannsakað vandamálið.

• Opinberi OpenPGP-lykillinn fyrir security@bof.nl

• Þú munt ekki deila þekkingu þinni á veikleikanum með öðrum aðilum svo lengi sem við höfum ekki tekið á vandamálinu og við erum enn innan hæfilegs tímaramma frá því að þú tilkynntir vandamálið.

• Þú munt eyða öllum trúnaðarupplýsingum sem þú hefur fengið við rannsókn þína um leið og við höfum leyst veikleikann.

Það sem þú getur vænst af okkur

• Við munum svara skýrslu þinni innan þriggja daga á ítarlegan hátt. Við munum láta fylgja mat á þeim tíma sem við þurfum til að takast á við vandamálið. Að sjálfsögðu munum við reglulega halda þér upplýstum um framvindu okkar.

• Við munum leysa veikleikann eins fljótt og auðið er. Hér er meðalhóf einnig mikilvægt: tíminn sem þarf til að laga veikleika fer eftir nokkrum þáttum, þar á meðal alvarleika og flækjustigi vandamálsins sem um ræðir.

• Þegar þú fylgir leiðbeiningunum sem settar eru fram hér munum við ekki grípa til lagalegra aðgerða gegn þér vegna skýrslu þinnar.

• Okkur er mikilvægt að þakka þér fyrir það sem þú gerðir - ef þú vilt. Við munum nefna nafn þitt í umfjöllun um veikleikann aðeins ef þú samþykkir það.

• Sem þakkir fyrir að hjálpa okkur að vernda kerfi okkar betur viljum við umbuna fyrir hverja skýrslu um veikleika sem okkur var ókunnur á þeim tíma. Umbunin fer eftir alvarleika veikleikans og gæðum skýrslunnar.

• Ef þú finnur veikleika í hugbúnaði þriðja aðila sem við notum og sá veikleiki fellur undir villuverðlaunaáætlun (bug bounty) munum við ekki reyna að gera tilkall til þeirra verðlauna; það ættir þú að gera.