Bits of Freedom - การเปิดเผยช่องโหว่แบบประสานงาน

การพึ่งพาโครงสร้างพื้นฐานดิจิทัลของเรากำลังเพิ่มขึ้นเรื่อย ๆ สิ่งนี้เป็นจริงสำหรับสังคมโดยรวม แต่ก็เป็นจริงสำหรับตัวเราเองด้วย ดังนั้นเรา เห็นว่ารัฐบาลและองค์กรต่าง ๆ (รวมถึงองค์กรของเรา) ควรมุ่งมั่นอย่างจริงจังในการรักษาความปลอดภัยของโครงสร้างพื้นฐานดิจิทัลของเรา เรา ตระหนักดีว่า แม้จะมีเจตนาที่ดีที่สุดและความระมัดระวังสูงสุด ระบบของเราก็อาจมีช่องโหว่อยู่ หากคุณบังเอิญพบจุดอ่อน เหล่านี้จุดใดจุดหนึ่ง เรายินดีที่จะได้ยินจากคุณเพื่อที่เราจะได้แก้ไขปัญหา

สิ่งที่เราคาดหวังจากคุณ

• เมื่อคุณสืบสวนระบบใดระบบหนึ่งของเรา โปรดคำนึงถึงความได้สัดส่วนของการโจมตี ไม่จำเป็นต้องแสดงให้เห็นว่า เมื่อคุณโจมตีเว็บไซต์ของเราด้วยการโจมตีแบบ DDoS ที่ใหญ่ที่สุดในประวัติศาสตร์อินเทอร์เน็ต เว็บไซต์อาจเข้าถึงไม่ได้ เรารู้ เรื่องนั้นอยู่แล้ว เรายังเข้าใจด้วยว่าหากคุณขับรถปราบดินเข้าไปในสำนักงานของเรา คุณก็น่าจะคว้าแล็ปท็อปของเราไปได้เครื่องหนึ่ง

• หลักการความได้สัดส่วนนี้ยังเกี่ยวข้องเมื่อแสดงช่องโหว่นั้นเองด้วย คุณไม่ควรตรวจสอบหรือแก้ไขข้อมูลมากกว่า ที่จำเป็นอย่างยิ่งเพื่อยืนยันความถูกต้องของสิ่งที่คุณค้นพบ ตัวอย่างเช่น หากคุณแก้ไขหน้าแรกของเราได้ เพียงแค่ เพิ่มคำที่ไม่เป็นที่ถกเถียงหนึ่งคำลงไป แทนที่จะยึดหน้านั้นทั้งหน้า หากคุณเข้าถึง ฐานข้อมูลได้ เพียงแสดงรายการตารางที่อยู่ในนั้นให้เราดู หรืออาจเป็นเรคคอร์ดแรกของตารางใดตารางหนึ่งก็เพียงพอ

• ควรรายงานช่องโหว่ในระบบใดระบบหนึ่งของเราโดยเร็วที่สุดโดยส่งอีเมลไปที่ security@bof.nl และควร เข้ารหัสข้อความของคุณด้วย OpenPGP โปรดให้ข้อมูลที่เพียงพอเพื่อให้เราสามารถจำลองปัญหาซ้ำและตรวจสอบได้

• กุญแจสาธารณะ OpenPGP สำหรับ security@bof.nl

• คุณจะไม่แบ่งปันความรู้เกี่ยวกับช่องโหว่กับฝ่ายอื่นตราบใดที่เรายังไม่ได้จัดการกับปัญหา และเรายังอยู่ ในกรอบเวลาที่สมเหตุสมผลนับจากที่คุณรายงานปัญหา

• คุณจะลบข้อมูลลับทั้งหมดที่คุณได้มาระหว่างการสืบสวนทันทีที่เราแก้ไขช่องโหว่แล้ว

สิ่งที่คุณคาดหวังได้จากเรา

• เราจะตอบรายงานของคุณภายในสามวันอย่างละเอียด เราจะแนบการประเมินเวลาที่เราต้องใช้ในการ แก้ไขปัญหา แน่นอนว่าเราจะแจ้งความคืบหน้าให้คุณทราบเป็นประจำ

• เราจะแก้ไขช่องโหว่โดยเร็วที่สุด ในที่นี้ความได้สัดส่วนก็สำคัญเช่นกัน: เวลาที่ต้องใช้ในการแก้ไข ช่องโหว่ขึ้นอยู่กับหลายปัจจัย รวมถึงความรุนแรงและความซับซ้อนของปัญหาที่อยู่ตรงหน้า

• เมื่อคุณปฏิบัติตามแนวทางที่วางไว้ที่นี่ เราจะไม่ดำเนินการทางกฎหมายต่อคุณเกี่ยวกับรายงานของคุณ

• เราให้ความสำคัญกับการให้เครดิตแก่คุณสำหรับสิ่งที่คุณทำ - หากคุณต้องการ เราจะระบุชื่อคุณในสิ่งพิมพ์เกี่ยวกับช่องโหว่ ก็ต่อเมื่อคุณยินยอมเท่านั้น

• เพื่อเป็นการขอบคุณที่ช่วยให้เราปกป้องระบบของเราได้ดียิ่งขึ้น เราต้องการมอบรางวัลให้ทุกรายงานช่องโหว่ที่ เราไม่ทราบมาก่อนในขณะนั้น รางวัลจะขึ้นอยู่กับความรุนแรงของช่องโหว่และคุณภาพของรายงาน

• หากคุณพบช่องโหว่ในซอฟต์แวร์ของบุคคลที่สามที่เราใช้ และช่องโหว่นั้นอยู่ภายใต้โครงการ bug bounty เรา จะไม่พยายามเรียกร้องรางวัลนั้น คุณควรเป็นผู้เรียกร้อง