Bits of Freedom - Divulgazione coordinata delle vulnerabilità

La nostra dipendenza dall'infrastruttura digitale è in continuo aumento. Questo vale per la società nel suo complesso, ma anche per noi stessi. È quindi nostra opinione che i governi e le organizzazioni (inclusa la nostra) debbano impegnarsi con decisione per mettere in sicurezza la nostra infrastruttura digitale. Siamo consapevoli che, nonostante le nostre migliori intenzioni e la massima cura, possono esistere vulnerabilità nei nostri sistemi. Se ti capita di trovare una di queste debolezze, ci farebbe piacere sentirti, così da poter risolvere il problema.

Cosa ci aspettiamo da te

Quando indaghi su uno dei nostri sistemi, tieni presente la proporzionalità dell'attacco. Non c'è bisogno di dimostrare che se sottoponi il nostro sito web al più grande attacco DDoS della storia di internet, il sito può diventare irraggiungibile. Lo sappiamo. Capiamo anche che se guidi un bulldozer nel nostro ufficio, probabilmente riuscirai ad afferrare uno dei nostri laptop.
Questo principio di proporzionalità è rilevante anche quando si dimostra la vulnerabilità stessa. Non dovresti ispezionare o modificare più dati di quanto strettamente necessario per confermare la validità della tua scoperta. Ad esempio, se riesci a modificare la nostra homepage, aggiungi semplicemente una singola parola non controversa invece di impossessarti dell'intera pagina. Se riesci a ottenere accesso a un database, è sufficiente mostrarci un elenco delle tabelle presenti, o magari il primo record di una di queste tabelle.
Una vulnerabilità in uno dei nostri sistemi dovrebbe essere segnalata il prima possibile inviando un'email a security@bof.nl. Preferibilmente cifreresti il tuo messaggio usando OpenPGP. Fornisci informazioni sufficienti affinché possiamo riprodurre e indagare il problema.
La chiave pubblica OpenPGP per security@bof.nl
Non condividerai la tua conoscenza della vulnerabilità con altre parti finché non avremo affrontato il problema e saremo ancora entro un periodo di tempo ragionevole da quando hai segnalato il problema.
Eliminerai tutte le informazioni riservate che hai ottenuto durante le tue indagini non appena avremo risolto la vulnerabilità.

Cosa puoi aspettarti da noi

Risponderemo alla tua segnalazione entro tre giorni in modo dettagliato. Includeremo una stima del tempo di cui avremo bisogno per affrontare il problema. Naturalmente, ti terremo regolarmente aggiornato sui nostri progressi.
Risolveremo la vulnerabilità il prima possibile. Anche qui la proporzionalità è importante: il tempo necessario per correggere una vulnerabilità dipende da diversi fattori, tra cui la gravità e la complessità del problema in questione.
Se segui le linee guida qui esposte, non intraprenderemo azioni legali nei tuoi confronti in relazione alla tua segnalazione.
Per noi è importante riconoscerti il merito di ciò che hai fatto - se lo desideri. Menzioneremo il tuo nome in una pubblicazione sulla vulnerabilità solo se sei d'accordo.
Come ringraziamento per averci aiutato a proteggere meglio i nostri sistemi, vorremmo premiare ogni segnalazione di una vulnerabilità che ci era sconosciuta in quel momento. La ricompensa dipenderà dalla gravità della vulnerabilità e dalla qualità della segnalazione.
Se dovessi trovare una vulnerabilità in un software di terze parti che utilizziamo e tale vulnerabilità è coperta da un programma di bug bounty, non cercheremo di rivendicare questa ricompensa; dovresti farlo tu.