Bits of Freedom - Divulgação coordenada de vulnerabilidades

A nossa dependência da infraestrutura digital está sempre a aumentar. Isto aplica-se à sociedade como um todo, mas também a nós próprios. É por isso nossa opinião que os governos e as organizações (incluindo a nossa) devem comprometer-se fortemente com a segurança da nossa infraestrutura digital. Sabemos que, apesar das nossas melhores intenções e do nosso maior cuidado, podem existir vulnerabilidades nos nossos sistemas. Se encontrar por acaso uma destas fragilidades, gostaríamos muito de ter notícias suas para podermos resolver o problema.

O que esperamos de si

Quando estiver a investigar um dos nossos sistemas, tenha em conta a proporcionalidade do ataque. Não há necessidade de demonstrar que, ao submeter o nosso sítio ao maior ataque DDoS da história da Internet, o sítio pode ficar inacessível. Nós sabemos isso. Também compreendemos que, se conduzir um buldózer até ao nosso escritório, provavelmente conseguirá agarrar um dos nossos portáteis.
Este princípio de proporcionalidade também é relevante ao demonstrar a própria vulnerabilidade. Não deve inspecionar nem modificar mais dados do que o estritamente necessário para confirmar a validade da sua descoberta. Por exemplo, se conseguir modificar a nossa página inicial, acrescente apenas uma palavra não controversa em vez de tomar conta de toda a página. Se conseguir obter acesso a uma base de dados, basta mostrar-nos uma lista das tabelas que lá estão, ou talvez o primeiro registo de uma dessas tabelas.
Uma vulnerabilidade num dos nossos sistemas deve ser comunicada o mais depressa possível enviando um correio eletrónico para security@bof.nl. De preferência, cifre a sua mensagem com OpenPGP. Forneça informação suficiente para podermos reproduzir e investigar o problema.
A chave pública OpenPGP de security@bof.nl
Não partilhará o seu conhecimento da vulnerabilidade com outras partes enquanto não tivermos resolvido o problema e ainda estivermos dentro de um prazo razoável desde que comunicou o problema.
Eliminará todas as informações confidenciais que obteve durante a sua investigação logo que tivermos resolvido a vulnerabilidade.

O que pode esperar de nós

Responderemos ao seu relatório no prazo de três dias de forma detalhada. Incluiremos uma estimativa do tempo de que precisaremos para resolver o problema. Naturalmente, mantê-lo-emos regularmente informado do nosso progresso.
Resolveremos a vulnerabilidade o mais depressa possível. Também aqui a proporcionalidade é importante: o tempo necessário para corrigir uma vulnerabilidade depende de vários fatores, entre os quais a gravidade e a complexidade do problema em causa.
Quando seguir as diretrizes aqui estabelecidas, não tomaremos medidas legais contra si relativamente ao seu relatório.
É importante para nós dar-lhe crédito pelo que fez - se assim o desejar. Mencionaremos o seu nome numa publicação sobre a vulnerabilidade apenas se concordar.
Como agradecimento por nos ajudar a proteger melhor os nossos sistemas, gostaríamos de recompensar cada relatório de uma vulnerabilidade que nos era desconhecida na altura. A recompensa dependerá da gravidade da vulnerabilidade e da qualidade do relatório.
Se encontrar uma vulnerabilidade em software de terceiros que utilizamos e essa vulnerabilidade for abrangida por um programa de bug bounty, não tentaremos reclamar essa recompensa; deve fazê-lo você.