Bits of Freedom - Скоординированное раскрытие уязвимостей

Наша зависимость от цифровой инфраструктуры постоянно растёт. Это относится к обществу в целом, но также и к нам самим. Поэтому мы считаем, что правительства и организации (включая нашу) должны твёрдо взять на себя обязательство по защите нашей цифровой инфраструктуры. Мы понимаем, что, несмотря на наши лучшие намерения и величайшую осторожность, в наших системах могут существовать уязвимости. Если вы случайно найдёте одно из таких слабых мест, мы с радостью выслушаем вас, чтобы мы могли решить проблему.

Что мы ожидаем от вас

Исследуя одну из наших систем, помните о соразмерности атаки. Нет необходимости демонстрировать, что если подвергнуть наш сайт крупнейшей в истории интернета DDoS-атаке, сайт может стать недоступным. Мы это знаем. Мы также понимаем, что если вы въедете бульдозером в наш офис, вы, вероятно, сможете утащить один из наших ноутбуков.
Этот принцип соразмерности также важен при демонстрации самой уязвимости. Вы не должны просматривать или изменять больше данных, чем строго необходимо для подтверждения обоснованности вашей находки. Например, если вы можете изменить нашу главную страницу, просто добавьте на неё одно неспорное слово, вместо того чтобы захватывать всю страницу. Если вы можете получить доступ к базе данных, достаточно показать нам список имеющихся там таблиц или, возможно, первую запись в одной из этих таблиц.
Об уязвимости в одной из наших систем следует сообщить как можно скорее, отправив письмо на security@bof.nl. Желательно зашифровать ваше сообщение с помощью OpenPGP. Пожалуйста, предоставьте достаточно информации, чтобы мы могли воспроизвести и исследовать проблему.
Открытый ключ OpenPGP для security@bof.nl
Вы не будете делиться своими знаниями об уязвимости с другими сторонами, пока мы не решили проблему и пока мы всё ещё находимся в разумных временных рамках с момента, когда вы о ней сообщили.
Вы удалите всю конфиденциальную информацию, которую вы получили в ходе своего исследования, как только мы устраним уязвимость.

Что вы можете ожидать от нас

Мы ответим на ваше сообщение в течение трёх дней подробно. Мы укажем оценку времени, которое потребуется нам для решения проблемы. Конечно, мы будем регулярно информировать вас о нашем прогрессе.
Мы устраним уязвимость как можно скорее. Здесь тоже важна соразмерность: время, необходимое для исправления уязвимости, зависит от нескольких факторов, в том числе от серьёзности и сложности рассматриваемой проблемы.
Если вы следуете изложенным здесь рекомендациям, мы не будем предпринимать юридических действий против вас в связи с вашим сообщением.
Для нас важно отметить вашу заслугу в том, что вы сделали, — если вы пожелаете. Мы упомянем ваше имя в публикации об уязвимости, только если вы на это согласитесь.
В знак благодарности за помощь в лучшей защите наших систем мы хотели бы вознаградить каждое сообщение об уязвимости, которая в то время была нам неизвестна. Вознаграждение будет зависеть от серьёзности уязвимости и качества сообщения.
Если вы найдёте уязвимость в стороннем программном обеспечении, которое мы используем, и эта уязвимость охвачена программой bug bounty, мы не станем пытаться претендовать на это вознаграждение; на него должны претендовать вы.