ResponsibleDisclosure.nl pažeidžiamumų atskleidimo pavyzdys

Acme Corporation mūsų sistemų saugumą laikome svarbiausiu prioritetu. Tačiau kad ir kiek pastangų skirtume sistemų saugumui, pažeidžiamumų vis tiek gali likti.

Jei aptikote pažeidžiamumą, norėtume apie tai žinoti, kad galėtume kuo greičiau imtis veiksmų jam pašalinti.

Prašome padėti mums geriau apsaugoti savo klientus ir sistemas.

Prašome:

• Išsiųsti savo radinius el. paštu adresu cert@example.com. Užšifruokite radinius naudodami mūsų PGP raktą, kad ši kritinė informacija nepatektų į netinkamas rankas,

• Nepasinaudoti aptiktu pažeidžiamumu ar problema, pavyzdžiui, atsisiunčiant daugiau duomenų, nei būtina pažeidžiamumui įrodyti, arba ištrinant ar keičiant kitų žmonių duomenis,

• Neatskleisti problemos kitiems, kol ji neišspręsta,

• Nenaudoti išpuolių prieš fizinį saugumą, socialinės inžinerijos, paskirstytųjų paslaugos trikdymo atakų (DDoS), šlamšto ar trečiųjų šalių programų, ir

• Pateikti pakankamai informacijos problemai atkurti, kad galėtume ją išspręsti kuo greičiau. Paprastai pakanka paveiktos sistemos IP adreso arba URL ir pažeidžiamumo aprašymo, tačiau sudėtingiems pažeidžiamumams gali prireikti papildomų paaiškinimų.

Ką žadame:

• Į jūsų pranešimą atsakysime per 3 darbo dienas, pateikdami pranešimo vertinimą ir numatomą sprendimo datą,

• Jei laikėtės pirmiau pateiktų nurodymų, nesiimsime jokių teisinių veiksmų prieš jus dėl pranešimo,

• Jūsų pranešimą tvarkysime griežtai konfidencialiai ir neperduosime jūsų asmens duomenų trečiosioms šalims be jūsų leidimo,

• Informuosime jus apie problemos sprendimo pažangą,

• Viešoje informacijoje apie pranešta problemą nurodysime jūsų vardą kaip problemos atradėjo (nebent pageidautumėte kitaip), ir

• Kaip padėkos ženklą už jūsų pagalbą siūlome atlygį už kiekvieną pranešimą apie saugumo problemą, kuri mums dar nebuvo žinoma. Atlygio dydis nustatomas pagal nutekėjimo sunkumą ir pranešimo kokybę. Minimalus atlygis – 50 € dovanų čekis.

Stengiamės išspręsti visas problemas kuo greičiau ir norėtume aktyviai dalyvauti galutiniame paskelbime apie problemą, kai ji bus išspręsta.

Šį tekstą parašė Floor Terra ir jis paskelbtas pagal Creative Commons Attribution 3.0 Unported licenciją.