Fox-IT Скоординированное раскрытие уязвимостей

В Fox-IT мы считаем безопасность наших систем, нашей сети и наших продуктов чрезвычайно важной. Несмотря на большую заботу о безопасности, слабые места всё же могут оставаться. Если вы нашли такое слабое место, мы хотели бы узнать об этом как можно скорее, чтобы принять соответствующие меры как можно быстрее.

Слабые места можно обнаружить двумя способами: вы можете случайно наткнуться на что-то при обычном использовании цифровой среды или можете явно сделать всё возможное, чтобы их найти.

Наша политика ответственного раскрытия — не приглашение активно сканировать нашу бизнес-сеть для обнаружения слабых мест. Мы сами отслеживаем свою бизнес-сеть. Это означает, что существует высокая вероятность того, что сканирование будет обнаружено и наш Центр операций безопасности (SOC) проведёт расследование, что может привести к ненужным затратам. Тем не менее вас приглашают активно искать уязвимости в наших продуктах в автономной непроизводственной среде и сообщать нам о своих находках. Наша ответственность перед клиентами означает, что мы не намерены поощрять попытки взлома их инфраструктуры; однако мы хотели бы услышать от вас как можно скорее, если будут найдены уязвимости, чтобы мы могли надлежащим образом их устранить.

Мы хотели бы работать с вами, чтобы лучше защищать наших клиентов и наши системы.

Мы просим вас:

Отправлять свои находки по электронной почте как можно скорее на security-alert@fox-it.com.
Не злоупотреблять уязвимостью; например, скачивая, редактируя или удаляя данные. Мы всегда серьёзно отнесёмся к вашему сообщению и расследуем любые подозрения на уязвимость, даже без доказательств.
Не делиться проблемой с другими, пока она не будет решена.
Не использовать атаки на физическую безопасность, социальную инженерию или инструменты взлома, такие как сканеры уязвимостей.
Предоставлять достаточно информации для воспроизведения проблемы, чтобы мы могли решить её как можно скорее. Обычно достаточно IP-адреса или URL затронутой системы и описания уязвимости, хотя для более сложных уязвимостей может потребоваться больше информации.

Что мы обещаем:

Мы ответим на ваше сообщение в течение трёх рабочих дней, указав нашу оценку сообщения и ожидаемую дату решения.
Мы будем обрабатывать ваше сообщение конфиденциально и не будем делиться вашими персональными данными с третьими лицами без вашего разрешения. Исключение составляют полиция и судебные органы в случае преследования или если информация затребована.
Мы будем держать вас в курсе прогресса в решении проблемы.
При общении о сообщённой проблеме мы назовём ваше имя как стороны, обнаружившей проблему, если вы пожелаете.
К сожалению, невозможно заранее гарантировать, что против вас не будут предприняты никакие юридические действия. Мы надеемся иметь возможность рассматривать каждую ситуацию индивидуально. Мы считаем себя морально обязанными сообщить о вас, если подозреваем, что слабое место или данные используются недобросовестно или что вы поделились знанием о слабом месте с другими. Можете быть уверены, что случайное обнаружение в нашей онлайн-среде не приведёт к преследованию.
В благодарность за вашу помощь мы предлагаем вознаграждение за каждое сообщение о проблеме безопасности, неизвестной нам. Размер вознаграждения мы определяем исходя из серьёзности нарушения и качества сообщения.

Мы стремимся решить все проблемы как можно скорее, держать в курсе все заинтересованные стороны и хотели бы участвовать в любой публикации о проблеме после её решения.

Пример: Bits of Freedom

Наша зависимость от цифровой инфраструктуры постоянно растёт. Это относится к обществу в целом, но также и к нам самим. Поэтому мы считаем, что правительства и организации (включая нашу) должны твёрдо взять на себя обязательство по защите нашей цифровой инфраструктуры. Мы понимаем, что, несмотря на наши лучшие намерения и величайшую осторожность, в наших системах могут существовать уязвимости. Если вы случайно найдёте одно из таких слабых мест, мы с радостью выслушаем вас, чтобы мы могли решить проблему.

Что мы ожидаем от вас

Исследуя одну из наших систем, помните о соразмерности атаки. Нет необходимости демонстрировать, что если подвергнуть наш сайт крупнейшей в истории интернета DDoS-атаке, сайт может стать недоступным. Мы это знаем. Мы также понимаем, что если вы въедете бульдозером в наш офис, вы, вероятно, сможете утащить один из наших ноутбуков.
Этот принцип соразмерности также важен при демонстрации самой уязвимости. Вы не должны просматривать или изменять больше данных, чем строго необходимо для подтверждения обоснованности вашей находки. Например, если вы можете изменить нашу главную страницу, просто добавьте на неё одно неспорное слово, вместо того чтобы захватывать всю страницу. Если вы можете получить доступ к базе данных, достаточно показать нам список имеющихся там таблиц или, возможно, первую запись в одной из этих таблиц.
Об уязвимости в одной из наших систем следует сообщить как можно скорее, отправив письмо на security@bof.nl. Желательно зашифровать ваше сообщение с помощью OpenPGP. Пожалуйста, предоставьте достаточно информации, чтобы мы могли воспроизвести и исследовать проблему.
Открытый ключ OpenPGP для security@bof.nl
Вы не будете делиться своими знаниями об уязвимости с другими сторонами, пока мы не решили проблему и пока мы всё ещё находимся в разумных временных рамках с момента, когда вы о ней сообщили.
Вы удалите всю конфиденциальную информацию, которую вы получили в ходе своего исследования, как только мы устраним уязвимость.

Что вы можете ожидать от нас

Мы ответим на ваше сообщение в течение трёх дней подробно. Мы укажем оценку времени, которое потребуется нам для решения проблемы. Конечно, мы будем регулярно информировать вас о нашем прогрессе.
Мы устраним уязвимость как можно скорее. Здесь тоже важна соразмерность: время, необходимое для исправления уязвимости, зависит от нескольких факторов, в том числе от серьёзности и сложности рассматриваемой проблемы.
Если вы следуете изложенным здесь рекомендациям, мы не будем предпринимать юридических действий против вас в связи с вашим сообщением.
Для нас важно отметить вашу заслугу в том, что вы сделали, — если вы пожелаете. Мы упомянем ваше имя в публикации об уязвимости, только если вы на это согласитесь.
В знак благодарности за помощь в лучшей защите наших систем мы хотели бы вознаградить каждое сообщение об уязвимости, которая в то время была нам неизвестна. Вознаграждение будет зависеть от серьёзности уязвимости и качества сообщения.
Если вы найдёте уязвимость в стороннем программном обеспечении, которое мы используем, и эта уязвимость охвачена программой bug bounty, мы не станем пытаться претендовать на это вознаграждение; на него должны претендовать вы.