Bits of Freedom: koordinēta ievainojamību atklāšana

Mūsu atkarība no digitālās infrastruktūras pastāvīgi pieaug. Tas attiecas uz sabiedrību kopumā, bet arī uz mums pašiem. Tāpēc mūsu viedoklis ir, ka valdībām un organizācijām (tostarp mūsējai) būtu stingri jāapņemas nodrošināt mūsu digitālo infrastruktūru. Mēs apzināmies, ka, neraugoties uz mūsu labākajiem nodomiem un lielāko rūpību, mūsu sistēmās var būt ievainojamības. Ja jūs tiešām atrodat kādu no šīm vājajām vietām, mēs labprāt vēlētos sazināties ar jums, lai varētu problēmu atrisināt.

Ko mēs sagaidām no jums

Pētot kādu no mūsu sistēmām, paturiet prātā uzbrukuma samērīgumu. Nav vajadzības demonstrēt, ka, pakļaujot mūsu tīmekļvietni lielākajam DDoS uzbrukumam interneta vēsturē, vietne var kļūt nepieejama. Mēs to zinām. Mēs arī saprotam, ka, ja ar buldozeru iebrauksiet mūsu birojā, jūs, visticamāk, varēsiet nočiept vienu no mūsu klēpjdatoriem.
Šis samērīguma princips ir svarīgs arī pašas ievainojamības demonstrēšanā. Jums nevajadzētu pārbaudīt vai mainīt vairāk datu, nekā stingri nepieciešams sava atklājuma derīguma apstiprināšanai. Piemēram, ja varat mainīt mūsu mājaslapu, vienkārši pievienojiet tai vienu nekontroversiālu vārdu, nevis pārņemiet visu lapu. Ja varat iegūt piekļuvi datubāzei, pietiek parādīt mums tajā esošo tabulu sarakstu vai varbūt pirmo ierakstu vienā no šīm tabulām.
Par ievainojamību kādā no mūsu sistēmām jāziņo pēc iespējas ātrāk, nosūtot e-pastu uz security@bof.nl. Vēlams, lai jūs šifrētu savu ziņojumu, izmantojot OpenPGP. Lūdzu, sniedziet pietiekami daudz informācijas, lai mēs varētu atveidot un izmeklēt problēmu.
Publiskā OpenPGP atslēga adresei security@bof.nl
Jūs nedalīsieties ar savām zināšanām par ievainojamību ar citām pusēm, kamēr mēs neesam risinājuši problēmu un joprojām ir saprātīgs laika posms kopš jūsu ziņojuma par problēmu.
Jūs izdzēsīsiet visu konfidenciālo informāciju, ko ieguvāt izmeklēšanas laikā, līdzko būsim atrisinājuši ievainojamību.

Ko jūs varat sagaidīt no mums

Mēs atbildēsim uz jūsu ziņojumu trīs dienu laikā detalizēti. Mēs norādīsim laika novērtējumu, kāds mums būs nepieciešams problēmas risināšanai. Protams, mēs regulāri informēsim jūs par savu progresu.
Mēs atrisināsim ievainojamību pēc iespējas ātrāk. Arī šeit samērīgums ir svarīgs: laiks, kas nepieciešams ievainojamības novēršanai, ir atkarīgs no vairākiem faktoriem, tostarp no attiecīgās problēmas nopietnības un sarežģītības.
Ja ievērosiet šeit izklāstītās vadlīnijas, mēs nepieņemsim nekādus juridiskus pasākumus pret jums saistībā ar jūsu ziņojumu.
Mums ir svarīgi atzīt jūsu nopelnus par paveikto, ja vēlaties. Mēs minēsim jūsu vārdu publikācijā par ievainojamību tikai tad, ja jūs tam piekrītat.
Kā pateicību par palīdzību mūsu sistēmu labākā aizsardzībā mēs vēlētos atalgot katru ziņojumu par ievainojamību, kas mums tajā laikā nebija zināma. Atlīdzība būs atkarīga no ievainojamības nopietnības un ziņojuma kvalitātes.

Ja atrastu ievainojamību trešās puses programmatūrā, ko mēs izmantojam, un uz šo ievainojamību attiecas kļūdu atklāšanas atalgojuma (bug bounty) programma, mēs necentīsimies pieprasīt šo atalgojumu; jums tas būtu jāizdara.