Bits of Freedom – koordinuotas pažeidžiamumų atskleidimas

Mūsų priklausomybė nuo skaitmeninės infrastruktūros nuolat auga. Tai taikoma visai visuomenei, bet ir mums patiems. Todėl, mūsų nuomone, vyriausybės ir organizacijos (įskaitant mus) turėtų tvirtai įsipareigoti saugoti mūsų skaitmeninę infrastruktūrą. Suprantame, kad, nepaisant geriausių ketinimų ir didžiausio rūpestingumo, mūsų sistemose gali būti pažeidžiamumų. Jei aptiktumėte vieną iš šių silpnųjų vietų, mielai išgirstume jūsų žinią, kad galėtume problemą išspręsti.

Ko tikimės iš jūsų

• Tyrinėdami vieną iš mūsų sistemų, atsižvelkite į išpuolio proporcingumą. Nereikia įrodinėti, kad mūsų svetainė gali tapti nepasiekiama, jei ją paveiktų didžiausia interneto istorijoje DDoS ataka. Tai žinome. Taip pat suprantame, kad jei įvažiuotumėte buldozeriu į mūsų biurą, tikriausiai galėtumėte pagrobti vieną iš mūsų nešiojamųjų kompiuterių.

• Šis proporcingumo principas svarbus ir demonstruojant patį pažeidžiamumą. Neturėtumėte tikrinti ar keisti daugiau duomenų, nei griežtai būtina savo radinio pagrįstumui patvirtinti. Pavyzdžiui, jei galite pakeisti mūsų pagrindinį puslapį, tiesiog pridėkite vieną nekontroversišką žodį, užuot perėmę visą puslapį. Jei galite gauti prieigą prie duomenų bazės, pakanka parodyti joje esančių lentelių sąrašą arba galbūt pirmą vienos iš tų lentelių įrašą.

• Apie pažeidžiamumą vienoje iš mūsų sistemų reikėtų pranešti kuo greičiau, išsiunčiant el. laišką adresu security@bof.nl. Pageidautina, kad savo žinutę užšifruotumėte naudodami OpenPGP. Pateikite pakankamai informacijos, kad galėtume problemą atkurti ir ištirti.

• Viešasis OpenPGP raktas, skirtas security@bof.nl

• Savo žinių apie pažeidžiamumą nesidalysite su kitomis šalimis, kol mes neišspręsime problemos ir vis dar nepraėjo pagrįstas laikotarpis nuo jūsų pranešimo apie problemą.

• Visą konfidencialią informaciją, gautą tyrimo metu, ištrinsite, kai tik pašalinsime pažeidžiamumą.

Ko galite tikėtis iš mūsų

• Į jūsų pranešimą išsamiai atsakysime per tris dienas. Pateiksime laiko, kurio prireiks problemai išspręsti, įvertį. Žinoma, reguliariai informuosime jus apie savo pažangą.

• Pažeidžiamumą pašalinsime kuo greičiau. Ir čia svarbus proporcingumas: laikas, reikalingas pažeidžiamumui ištaisyti, priklauso nuo kelių veiksnių, tarp jų – nagrinėjamos problemos sunkumo ir sudėtingumo.

• Jei laikysitės čia pateiktų gairių, nesiimsime jokių teisinių veiksmų prieš jus dėl jūsų pranešimo.

• Mums svarbu pripažinti jūsų nuopelnus – jei to norite. Jūsų vardą publikacijoje apie pažeidžiamumą paminėsime tik jums sutikus.

• Kaip padėką už pagalbą geriau apsaugant mūsų sistemas, norėtume apdovanoti kiekvieną pranešimą apie pažeidžiamumą, kuris tuo metu mums nebuvo žinomas. Atlygis priklausys nuo pažeidžiamumo sunkumo ir pranešimo kokybės.

• Jei rastumėte pažeidžiamumą trečiosios šalies programinėje įrangoje, kurią naudojame, ir tam pažeidžiamumui taikoma klaidų atradimo apdovanojimų (bug bounty) programa, nesistengsime pretenduoti į šį apdovanojimą; turėtumėte tai padaryti jūs.