Bits of Freedom – skoordynowane ujawnianie podatności

Nasze uzależnienie od infrastruktury cyfrowej stale rośnie. Dotyczy to społeczeństwa jako całości, ale także nas samych. Dlatego naszym zdaniem rządy i organizacje (w tym nasza) powinny zdecydowanie zaangażować się w zabezpieczanie naszej infrastruktury cyfrowej. Zdajemy sobie sprawę, że pomimo naszych najlepszych intencji i największej staranności w naszych systemach mogą występować podatności. Jeśli natrafisz na jedną z tych słabości, chętnie się o niej dowiemy, abyśmy mogli rozwiązać problem.

Czego od ciebie oczekujemy

• Gdy badasz jeden z naszych systemów, pamiętaj o proporcjonalności ataku. Nie ma potrzeby wykazywać, że gdy poddasz naszą stronę internetową największemu atakowi DDoS w historii internetu, strona może stać się niedostępna. My to wiemy. Rozumiemy też, że jeśli wjedziesz buldożerem do naszego biura, prawdopodobnie uda ci się zdobyć jeden z naszych laptopów.

• Ta zasada proporcjonalności jest istotna także przy demonstrowaniu samej podatności. Nie powinieneś przeglądać ani modyfikować więcej danych, niż jest to ściśle konieczne do potwierdzenia słuszności twojego odkrycia. Na przykład, jeśli możesz zmodyfikować naszą stronę główną, dodaj do niej tylko jedno niekontrowersyjne słowo, zamiast przejmować całą stronę. Jeśli możesz uzyskać dostęp do bazy danych, wystarczy pokazać nam listę znajdujących się w niej tabel lub ewentualnie pierwszy rekord jednej z tych tabel.

• Podatność w jednym z naszych systemów należy zgłosić jak najszybciej, wysyłając e-mail na adres security@bof.nl. Najlepiej zaszyfruj swoją wiadomość za pomocą OpenPGP. Podaj wystarczające informacje, abyśmy mogli odtworzyć i zbadać problem.

• Publiczny klucz OpenPGP dla security@bof.nl

• Nie podzielisz się swoją wiedzą o podatności z innymi stronami, dopóki nie zajmiemy się problemem i nadal jesteśmy w rozsądnym terminie od zgłoszenia przez ciebie problemu.

• Usuniesz wszystkie poufne informacje uzyskane podczas swojego badania, jak tylko usuniemy podatność.

Czego możesz od nas oczekiwać

• Odpowiemy na twoje zgłoszenie w ciągu trzech dni w sposób szczegółowy. Dołączymy szacunkowy czas, jakiego będziemy potrzebować na zajęcie się problemem. Oczywiście będziemy regularnie informować cię o naszych postępach.

• Usuniemy podatność jak najszybciej. Tutaj również ważna jest proporcjonalność: czas potrzebny na naprawę podatności zależy od kilku czynników, w tym od wagi i złożoności danego problemu.

• Gdy zastosujesz się do przedstawionych tu wytycznych, nie podejmiemy wobec ciebie kroków prawnych w związku ze zgłoszeniem.

• Ważne jest dla nas, aby docenić cię za to, co zrobiłeś – jeśli chcesz. Wspomnimy twoje imię i nazwisko w publikacji dotyczącej podatności tylko jeśli się na to zgodzisz.

• W podziękowaniu za pomoc w lepszej ochronie naszych systemów chcielibyśmy nagrodzić każde zgłoszenie podatności, która była nam wówczas nieznana. Nagroda będzie zależeć od wagi podatności i jakości zgłoszenia.

• Jeśli znajdziesz podatność w oprogramowaniu strony trzeciej, z którego korzystamy, a podatność ta jest objęta programem bug bounty, nie będziemy próbować domagać się tej nagrody; powinieneś to zrobić ty.