Bits of Freedom: Koordinované zverejňovanie zraniteľností

Naša závislosť od digitálnej infraštruktúry stále rastie. Platí to pre spoločnosť ako celok, ale aj pre nás samých. Preto sme toho názoru, že vlády a organizácie (vrátane tej našej) by sa mali pevne zaviazať k zabezpečeniu našej digitálnej infraštruktúry. Uvedomujeme si, že napriek našim najlepším úmyslom a najväčšej starostlivosti môžu v našich systémoch existovať zraniteľnosti. Ak náhodou nájdete niektorú z týchto slabín, radi by sme sa o nej dozvedeli, aby sme mohli problém vyriešiť.

Čo od vás očakávame

Keď skúmate niektorý z našich systémov, majte na pamäti primeranosť útoku. Nie je potrebné dokazovať, že ak náš web vystavíte najväčšiemu DDoS útoku v histórii internetu, stránka sa môže stať nedostupnou. Vieme to. Chápeme aj to, že ak vojdete do našej kancelárie buldozérom, pravdepodobne sa vám podarí schmatnúť jeden z našich notebookov.
Táto zásada primeranosti je dôležitá aj pri predvedení samotnej zraniteľnosti. Nemali by ste si prezerať ani upravovať viac údajov, než je nevyhnutne potrebné na potvrdenie platnosti vášho zistenia. Napríklad, ak dokážete upraviť našu domovskú stránku, pridajte na ňu iba jedno nekontroverzné slovo namiesto prevzatia celej stránky. Ak získate prístup k databáze, stačí nám ukázať zoznam tabuliek, ktoré sa v nej nachádzajú, alebo možno prvý záznam v jednej z týchto tabuliek.
Zraniteľnosť v niektorom z našich systémov by ste mali nahlásiť čo najskôr zaslaním e-mailu na security@bof.nl. Najlepšie je, ak správu zašifrujete pomocou OpenPGP. Poskytnite dostatok informácií, aby sme mohli problém reprodukovať a preskúmať.
Verejný kľúč OpenPGP pre security@bof.nl
Nebudete zdieľať svoje poznatky o zraniteľnosti s inými stranami, kým sme problém neriešili a kým sme stále v primeranej lehote od nahlásenia problému.
Vymažete všetky dôverné informácie, ktoré ste získali počas vyšetrovania, hneď ako zraniteľnosť odstránime.

Čo môžete očakávať od nás

Na vaše hlásenie odpovieme do troch dní podrobne. Zahrnieme odhad času, ktorý budeme potrebovať na vyriešenie problému. Samozrejme, budeme vás pravidelne informovať o našom pokroku.
Zraniteľnosť odstránime čo najskôr. Aj tu je dôležitá primeranosť: čas potrebný na opravu zraniteľnosti závisí od viacerých faktorov, medzi ktoré patrí závažnosť a zložitosť daného problému.
Ak dodržíte tu stanovené zásady, nepodnikneme voči vám v súvislosti s vaším hlásením žiadne právne kroky.
Je pre nás dôležité uznať vašu zásluhu – ak si to želáte. Vaše meno uvedieme v publikácii o zraniteľnosti iba vtedy, ak s tým budete súhlasiť.
Ako poďakovanie za pomoc pri lepšej ochrane našich systémov by sme radi odmenili každé hlásenie o zraniteľnosti, ktorá nám v tom čase nebola známa. Odmena bude závisieť od závažnosti zraniteľnosti a kvality hlásenia.

Ak nájdete zraniteľnosť v softvéri tretej strany, ktorý používame, a táto zraniteľnosť je pokrytá programom odmien za chyby (bug bounty), nebudeme sa pokúšať si túto odmenu nárokovať; mali by ste to urobiť vy.