Bits of Freedom - Samordnat röjande av sårbarheter

Vårt beroende av digital infrastruktur ökar hela tiden. Det gäller samhället som helhet, men också oss själva. Vi anser därför att regeringar och organisationer (inklusive vår) bör engagera sig starkt för att säkra vår digitala infrastruktur. Vi inser att det, trots våra bästa avsikter och största omsorg, kan finnas sårbarheter i våra system. Om du råkar hitta någon av dessa svagheter vill vi gärna höra av dig så att vi kan lösa problemet.

Vad vi förväntar oss av dig

När du undersöker ett av våra system, tänk på proportionaliteten i angreppet. Det finns ingen anledning att visa att vår webbplats kan bli onåbar om du utsätter den för den största DDoS-attacken i internets historia. Det vet vi. Vi förstår också att om du kör in en bulldozer på vårt kontor kommer du förmodligen att kunna norpa en av våra bärbara datorer.
Denna proportionalitetsprincip är också relevant när du demonstrerar själva sårbarheten. Du bör inte granska eller ändra mer data än vad som är absolut nödvändigt för att bekräfta att ditt fynd stämmer. Om du till exempel kan ändra vår startsida, lägg bara till ett enda okontroversiellt ord i stället för att ta över hela sidan. Om du kan få åtkomst till en databas räcker det att visa oss en lista över tabellerna som finns där, eller kanske den första posten i någon av tabellerna.
En sårbarhet i ett av våra system bör rapporteras så snart som möjligt genom att skicka e-post till security@bof.nl. Helst krypterar du ditt meddelande med OpenPGP. Lämna tillräckligt med information så att vi kan återskapa och undersöka problemet.
Den offentliga OpenPGP-nyckeln för security@bof.nl
Du delar inte din kunskap om sårbarheten med andra parter så länge vi inte har åtgärdat problemet och vi fortfarande befinner oss inom en rimlig tidsram sedan du rapporterade problemet.
Du raderar all konfidentiell information du har fått under din undersökning så snart vi har löst sårbarheten.

Vad du kan förvänta dig av oss

Vi svarar på din rapport inom tre dagar på ett utförligt sätt. Vi anger en uppskattning av hur lång tid vi behöver för att åtgärda problemet. Naturligtvis håller vi dig regelbundet underrättad om våra framsteg.
Vi löser sårbarheten så snart som möjligt. Även här är proportionalitet viktigt: den tid som krävs för att åtgärda en sårbarhet beror på flera faktorer, bland annat hur allvarligt och komplext det aktuella problemet är.
När du följer de riktlinjer som anges här vidtar vi inga rättsliga åtgärder mot dig med anledning av din rapport.
Det är viktigt för oss att ge dig erkännande för det du gjort - om du vill. Vi nämner ditt namn i en publikation om sårbarheten endast om du går med på det.
Som ett tack för att du hjälper oss att bättre skydda våra system vill vi belöna varje rapport om en sårbarhet som var okänd för oss vid den tidpunkten. Belöningen beror på sårbarhetens allvarlighetsgrad och rapportens kvalitet.
Om du hittar en sårbarhet i tredjepartsprogramvara som vi använder och sårbarheten omfattas av ett bug bounty-program kommer vi inte att försöka göra anspråk på den belöningen; det bör du göra.