Bits of Freedom - 協調的脆弱性開示

私たちのデジタルインフラへの依存は、ますます高まっています。これは社会全体に当てはまりますが、私たち自身にも当てはまります。したがって、政府や組織（私たちの組織を含む）は、デジタルインフラの保護に強く取り組むべきだと私たちは考えます。最善の意図と最大限の注意を払っても、私たちのシステムに脆弱性が存在しうることを、私たちは認識しています。こうした弱点を見つけた場合は、問題を解決できるよう、ぜひご連絡ください。

私たちがお願いすること

• 私たちのシステムを調査するときは、攻撃の比例性を念頭に置いてください。当社のウェブサイトにインターネット史上最大の DDoS 攻撃を加えれば、サイトが到達不能になりうることを実証する必要はありません。それは分かっています。また、オフィスにブルドーザーで突っ込めば、おそらくノートパソコンを1台奪えることも理解しています。

• この比例性の原則は、脆弱性そのものを実証するときにも当てはまります。発見内容の正しさを確認するために厳密に必要な量を超えて、データを調べたり変更したりしてはいけません。たとえば、ホームページを変更できる場合は、ページ全体を乗っ取るのではなく、物議を醸さない単語を1つだけ追加してください。データベースにアクセスできる場合は、そこにあるテーブルの一覧を、あるいはそれらのテーブルのうちの1つの最初のレコードを示せば十分です。

• 私たちのシステムの脆弱性は、security@bof.nl にメールを送って、できるだけ早く報告してください。できれば OpenPGP でメッセージを暗号化してください。私たちが問題を再現し調査できるよう、十分な情報を提供してください。

• security@bof.nl の OpenPGP 公開鍵

• 私たちが問題に対処していない間、そしてあなたが問題を報告してから妥当な期間内にある間は、脆弱性についての知識を他の関係者と共有しないでください。

• 私たちが脆弱性を解決したら、調査の過程で入手した機密情報をすべて削除してください。

私たちにできること

• 報告から3日以内に、詳細な返信をします。問題への対処に必要な見込み時間も添えます。もちろん、進捗は定期的にお知らせします。

• 脆弱性はできるだけ早く解決します。ここでも比例性が重要です。脆弱性の修正に必要な時間は、問題の深刻度や複雑さなど、いくつかの要因によって決まります。

• ここに示したガイドラインに従っていただいた場合、報告に関して、あなたに対する法的措置はとりません。

• ご希望であれば、あなたの功績を認めることは私たちにとって重要です。脆弱性に関する公表にあなたのお名前を記載するのは、あなたが同意した場合に限ります。

• 私たちのシステムをより良く守る手助けをしてくださったことへの感謝として、当時私たちが把握していなかった脆弱性の報告ごとに、報奨を差し上げたいと考えています。報奨は、脆弱性の深刻度と報告の質によって決まります。

• 私たちが使用している第三者のソフトウェアに脆弱性を見つけ、その脆弱性がバグ報奨金プログラムの対象である場合、私たちはその報奨金を請求しようとはしません。あなたが請求すべきです。