Bits of Freedom – Divulgarea coordonată a vulnerabilităților

Dependența noastră de infrastructura digitală este în continuă creștere. Acest lucru se aplică societății în ansamblu, dar și nouă înșine. Prin urmare, este opinia noastră că guvernele și organizațiile (inclusiv a noastră) ar trebui să se angajeze ferm în securizarea infrastructurii noastre digitale. Ne dăm seama că, în ciuda celor mai bune intenții și a celei mai mari griji, pot exista vulnerabilități în sistemele noastre. Dacă dați peste una dintre aceste slăbiciuni, ne-ar plăcea să auzim de la dumneavoastră pentru a putea rezolva problema.

Ce așteptăm de la dumneavoastră

Când investigați unul dintre sistemele noastre, țineți cont de proporționalitatea atacului. Nu este nevoie să demonstrați că dacă supuneți site-ul nostru celui mai mare atac DDoS din istoria internetului, site-ul poate deveni inaccesibil. Știm asta. Înțelegem, de asemenea, că dacă conduceți un buldozer în biroul nostru, probabil veți putea să luați unul dintre laptopurile noastre.
Acest principiu al proporționalității este relevant și atunci când se demonstrează vulnerabilitatea în sine. Nu ar trebui să inspectați sau să modificați mai multe date decât este strict necesar pentru a confirma validitatea constatării dumneavoastră. De exemplu, dacă puteți modifica pagina noastră de pornire, adăugați doar un singur cuvânt necontroversat în loc să preluați întreaga pagină. Dacă puteți obține acces la o bază de date, este suficient să ne arătați o listă a tabelelor care se află în ea sau poate prima înregistrare dintr-unul dintre aceste tabele.
O vulnerabilitate în unul dintre sistemele noastre ar trebui raportată cât mai curând posibil trimițând un e-mail la security@bof.nl. De preferință ați cripta mesajul folosind OpenPGP. Vă rugăm să furnizați suficiente informații pentru a putea reproduce și investiga problema.
Cheia publică OpenPGP pentru security@bof.nl
Nu veți împărtăși cunoștințele dumneavoastră despre vulnerabilitate cu alte părți cât timp nu am abordat problema și suntem încă într-un interval de timp rezonabil de când ați raportat problema.
Veți șterge toate informațiile confidențiale pe care le-ați obținut în timpul investigației dumneavoastră de îndată ce am rezolvat vulnerabilitatea.

Ce puteți aștepta de la noi

Vă vom răspunde raportului în termen de trei zile, într-un mod detaliat. Vom include o estimare a timpului de care vom avea nevoie pentru a aborda problema. Desigur, vă vom ține la curent în mod regulat cu progresul nostru.
Vom rezolva vulnerabilitatea cât mai curând posibil. Și aici proporționalitatea este importantă: timpul necesar pentru remedierea unei vulnerabilități depinde de mai mulți factori, printre care gravitatea și complexitatea problemei în cauză.
Când urmați îndrumările prezentate aici, nu vom lua măsuri legale împotriva dumneavoastră cu privire la raportul dumneavoastră.
Este important pentru noi să vă recunoaștem meritul pentru ceea ce ați făcut - dacă doriți. Vă vom menționa numele într-o publicație despre vulnerabilitate doar dacă sunteți de acord.
Ca mulțumire pentru ajutorul dat în protejarea mai bună a sistemelor noastre, am dori să recompensăm fiecare raport al unei vulnerabilități care ne era necunoscută la acel moment. Recompensa va depinde de gravitatea vulnerabilității și de calitatea raportului.
Dacă găsiți o vulnerabilitate în software-ul unui terț pe care îl folosim și acea vulnerabilitate este acoperită de un program bug bounty, nu vom încerca să revendicăm această recompensă; ar trebui să o faceți dumneavoastră.