Bits of Freedom: Koordinirano razkrivanje ranljivosti

Naša odvisnost od digitalne infrastrukture nenehno narašča. To velja za družbo kot celoto, pa tudi za nas same. Zato menimo, da bi se morale vlade in organizacije (vključno z našo) odločno zavezati k varovanju naše digitalne infrastrukture. Zavedamo se, da kljub našim najboljšim namenom in največji skrbnosti v naših sistemih lahko obstajajo ranljivosti. Če naletite na eno od teh slabosti, bi radi slišali od vas, da lahko težavo odpravimo.

Kaj pričakujemo od vas

Ko raziskujete katerega od naših sistemov, upoštevajte sorazmernost napada. Ni treba dokazovati, da lahko naše spletno mesto, če ga izpostavite največjemu napadu DDoS v zgodovini interneta, postane nedosegljivo. To vemo. Razumemo tudi, da boste, če z buldožerjem zapeljete v našo pisarno, verjetno lahko ugrabili enega od naših prenosnikov.
To načelo sorazmernosti je pomembno tudi pri dokazovanju same ranljivosti. Ne smete pregledovati ali spreminjati več podatkov, kot je nujno potrebno za potrditev veljavnosti vaše ugotovitve. Če lahko na primer spremenite našo domačo stran, ji dodajte le eno nespodbudno besedo, namesto da prevzamete celotno stran. Če lahko pridobite dostop do podatkovne baze, zadošča, da nam pokažete seznam tabel v njej ali morda prvi zapis v eni od teh tabel.
Ranljivost v enem od naših sistemov je treba prijaviti čim prej s pošiljanjem e-pošte na security@bof.nl. Sporočilo po možnosti šifrirajte z OpenPGP. Navedite dovolj informacij, da lahko težavo ponovimo in raziščemo.
Javni ključ OpenPGP za security@bof.nl
Svojega védenja o ranljivosti ne boste delili z drugimi, dokler težave nismo rešili in smo še v razumnem časovnem okviru od vaše prijave težave.
Vse zaupne informacije, ki ste jih pridobili med raziskavo, boste izbrisali takoj, ko ranljivost odpravimo.

Kaj lahko pričakujete od nas

Na vaše poročilo bomo podrobno odgovorili v treh dneh. Vključili bomo oceno časa, ki ga bomo potrebovali za rešitev težave. Seveda vas bomo redno obveščali o našem napredku.
Ranljivost bomo odpravili čim prej. Tudi tu je pomembna sorazmernost: čas, potreben za odpravo ranljivosti, je odvisen od več dejavnikov, med drugim od resnosti in zapletenosti obravnavane težave.
Če boste upoštevali tukaj navedene smernice, zoper vas v zvezi z vašim poročilom ne bomo sprožili pravnih postopkov.
Pomembno nam je, da vam priznamo zasluge za to, kar ste storili – če to želite. Vaše ime bomo v objavi o ranljivosti navedli le, če se s tem strinjate.
V zahvalo za pomoč pri boljši zaščiti naših sistemov bi radi nagradili vsako poročilo o ranljivosti, ki nam je bila takrat neznana. Nagrada bo odvisna od resnosti ranljivosti in kakovosti poročila.
Če najdete ranljivost v programski opremi tretje osebe, ki jo uporabljamo, in je ta ranljivost zajeta v programu nagrad za napake (bug bounty), te nagrade ne bomo poskušali zahtevati; to morate storiti vi.