Fox-IT การเปิดเผยช่องโหว่แบบประสานงาน

ที่ Fox-IT เราถือว่าความปลอดภัยของระบบ เครือข่าย และผลิตภัณฑ์ของเรา เป็นสิ่งสำคัญที่สุด แม้เราจะใส่ใจอย่างยิ่งในเรื่องความปลอดภัย จุดอ่อนก็ยังคงหลงเหลืออยู่ได้ หากคุณพบจุดอ่อนเช่นนั้น เรา อยากทราบโดยเร็วที่สุดเพื่อที่เราจะได้ดำเนินมาตรการที่เหมาะสม โดยเร็วที่สุด

จุดอ่อนสามารถถูกค้นพบได้สองวิธี: คุณอาจบังเอิญพบ บางสิ่งระหว่างการใช้งานสภาพแวดล้อมดิจิทัลตามปกติ หรือคุณอาจตั้งใจ พยายามอย่างเต็มที่เพื่อค้นหา

นโยบายการเปิดเผยอย่างรับผิดชอบของเราไม่ใช่คำเชิญให้สแกนเครือข่ายธุรกิจของเรา อย่างเชิงรุกเพื่อค้นหาจุดอ่อน เราเฝ้าติดตามเครือข่ายธุรกิจของเรา ด้วยตนเอง ซึ่งหมายความว่ามีโอกาสสูงที่การสแกนจะถูกตรวจพบ และศูนย์ปฏิบัติการด้านความปลอดภัย (Security Operation Center, SOC) ของเราจะทำการสอบสวน ซึ่งอาจก่อให้เกิดค่าใช้จ่ายโดยไม่จำเป็น อย่างไรก็ตาม คุณได้รับเชิญให้ ค้นหาช่องโหว่ในผลิตภัณฑ์ของเราอย่างเชิงรุกในสภาพแวดล้อมออฟไลน์ที่ไม่ใช่ สภาพแวดล้อมการผลิต และรายงานสิ่งที่คุณพบให้เรา ความรับผิดชอบของเราต่อ ลูกค้าหมายความว่าเจตนาของเราไม่ใช่การส่งเสริมความพยายามแฮ็ก โครงสร้างพื้นฐานของพวกเขา อย่างไรก็ตาม เราอยากได้ยินจากคุณโดยเร็วที่สุด หากพบช่องโหว่ เพื่อที่เราจะได้แก้ไขได้อย่างเหมาะสม

เราต้องการทำงานร่วมกับคุณเพื่อให้สามารถปกป้องลูกค้าและ ระบบของเราได้ดียิ่งขึ้น

เราขอให้คุณ:

• ส่งอีเมลผลการค้นพบของคุณโดยเร็วที่สุดไปที่ security-alert@fox-it.com

• อย่าใช้ช่องโหว่ในทางที่ผิด เช่น การดาวน์โหลด แก้ไข หรือ ลบข้อมูล เราจะพิจารณารายงานของคุณอย่างจริงจังเสมอ และสอบสวนข้อสงสัยใด ๆ เกี่ยวกับช่องโหว่ แม้จะไม่มีหลักฐาน

• อย่าแบ่งปันปัญหากับผู้อื่นจนกว่าจะได้รับการแก้ไข

• อย่าใช้การโจมตีต่อความปลอดภัยทางกายภาพ วิศวกรรมสังคม หรือเครื่องมือแฮ็ก เช่น เครื่องมือสแกนช่องโหว่

• ให้ข้อมูลที่เพียงพอเพื่อให้จำลองปัญหาซ้ำได้ เราจะได้ แก้ไขโดยเร็วที่สุด โดยปกติ ที่อยู่ IP หรือ URL ของ ระบบที่ได้รับผลกระทบและคำอธิบายช่องโหว่ก็เพียงพอ แม้ว่า อาจจำเป็นต้องมีข้อมูลเพิ่มเติมสำหรับช่องโหว่ที่ซับซ้อนกว่า

สิ่งที่เราสัญญา:

• เราจะตอบรายงานของคุณภายในสามวันทำการ พร้อมการประเมิน รายงานและวันที่คาดว่าจะแก้ไขเสร็จ

• เราจะจัดการรายงานของคุณเป็นความลับ และจะไม่แบ่งปันข้อมูลส่วนตัวของคุณ กับบุคคลที่สามโดยไม่ได้รับอนุญาตจากคุณ ยกเว้น ตำรวจและฝ่ายตุลาการในกรณีที่มีการดำเนินคดีหรือมีการเรียกร้องข้อมูล

• เราจะแจ้งความคืบหน้าของการแก้ปัญหาให้คุณทราบ

• ในการสื่อสารเกี่ยวกับปัญหาที่รายงาน เราจะระบุชื่อคุณเป็น ผู้ค้นพบปัญหา หากคุณต้องการ

• น่าเสียดายที่ไม่สามารถรับประกันล่วงหน้าได้ว่าจะไม่มีการดำเนินการทางกฎหมาย ต่อคุณ เราหวังว่าจะสามารถพิจารณาแต่ละสถานการณ์ เป็นรายกรณี เราถือว่าตนเองมีพันธะทางศีลธรรมที่ต้องรายงานคุณ หาก เราสงสัยว่าจุดอ่อนหรือข้อมูลถูกนำไปใช้ในทางที่ผิด หรือคุณได้แบ่งปัน ความรู้เกี่ยวกับจุดอ่อนนั้นกับผู้อื่น คุณมั่นใจได้ว่าการค้นพบโดยบังเอิญ ในสภาพแวดล้อมออนไลน์ของเราจะไม่นำไปสู่การดำเนินคดี

• เพื่อแสดงความขอบคุณสำหรับความช่วยเหลือของคุณ เรามอบรางวัลสำหรับทุกรายงานปัญหา ความปลอดภัยที่เราไม่ทราบมาก่อน เรากำหนดมูลค่าของรางวัลจาก ความร้ายแรงของการละเมิดและคุณภาพของรายงาน

เรามุ่งมั่นแก้ไขปัญหาทั้งหมดให้เร็วที่สุด แจ้งข่าวสารแก่ทุกฝ่ายที่เกี่ยวข้อง และเราต้องการมีส่วนร่วมในการเผยแพร่ใด ๆ เกี่ยวกับ ปัญหาเมื่อได้รับการแก้ไขแล้ว

ตัวอย่าง: Bits of Freedom

การพึ่งพาโครงสร้างพื้นฐานดิจิทัลของเรากำลังเพิ่มขึ้นเรื่อย ๆ สิ่งนี้เป็นจริงสำหรับ สังคมโดยรวม แต่ก็เป็นจริงสำหรับตัวเราเองด้วย ดังนั้นเราเห็นว่า รัฐบาลและองค์กรต่าง ๆ (รวมถึงองค์กรของเรา) ควรมุ่งมั่นอย่างจริงจังในการ รักษาความปลอดภัยของโครงสร้างพื้นฐานดิจิทัลของเรา เราตระหนักดีว่า แม้จะมี เจตนาที่ดีที่สุดและความระมัดระวังสูงสุด ระบบของเราก็อาจมีช่องโหว่อยู่ หาก คุณบังเอิญพบจุดอ่อนเหล่านี้จุดใดจุดหนึ่ง เรายินดีที่จะได้ยินจากคุณเพื่อที่เราจะได้ แก้ไขปัญหา

สิ่งที่เราคาดหวังจากคุณ

• เมื่อคุณสืบสวนระบบใดระบบหนึ่งของเรา โปรดคำนึงถึง ความได้สัดส่วนของการโจมตี ไม่จำเป็นต้องแสดงให้เห็นว่าเมื่อคุณ โจมตีเว็บไซต์ของเราด้วยการโจมตีแบบ DDoS ที่ใหญ่ที่สุดในประวัติศาสตร์อินเทอร์เน็ต เว็บไซต์อาจเข้าถึงไม่ได้ เรารู้เรื่องนั้นอยู่แล้ว เรายังเข้าใจด้วยว่าหาก คุณขับรถปราบดินเข้าไปในสำนักงานของเรา คุณก็น่าจะคว้าแล็ปท็อปของเรา ไปได้เครื่องหนึ่ง

• หลักการความได้สัดส่วนนี้ยังเกี่ยวข้องเมื่อแสดง ช่องโหว่นั้นเองด้วย คุณไม่ควรตรวจสอบหรือแก้ไขข้อมูลมากกว่าที่จำเป็นอย่างยิ่ง เพื่อยืนยันความถูกต้องของสิ่งที่คุณค้นพบ ตัวอย่างเช่น หาก คุณแก้ไขหน้าแรกของเราได้ เพียงแค่เพิ่มคำที่ไม่เป็นที่ถกเถียงหนึ่งคำลงไป แทนที่จะยึดหน้านั้นทั้งหน้า หากคุณเข้าถึง ฐานข้อมูลได้ เพียงแสดงรายการตารางที่อยู่ในนั้นให้เราดู หรืออาจเป็น เรคคอร์ดแรกของตารางใดตารางหนึ่งก็เพียงพอ

• ควรรายงานช่องโหว่ในระบบใดระบบหนึ่งของเราโดยเร็วที่สุด โดยส่งอีเมลไปที่ security@bof.nl และควรเข้ารหัส ข้อความของคุณด้วย OpenPGP โปรดให้ข้อมูลที่เพียงพอเพื่อให้เราสามารถจำลองปัญหาซ้ำ และตรวจสอบได้

• กุญแจสาธารณะ OpenPGP สำหรับ security@bof.nl

• คุณจะไม่แบ่งปันความรู้เกี่ยวกับช่องโหว่กับฝ่ายอื่นตราบใดที่ เรายังไม่ได้จัดการกับปัญหา และเรายังอยู่ในกรอบเวลาที่สมเหตุสมผล นับจากที่คุณรายงานปัญหา

• คุณจะลบข้อมูลลับทั้งหมดที่คุณได้มาระหว่างการสืบสวนทันทีที่เราแก้ไขช่องโหว่แล้ว

สิ่งที่คุณคาดหวังได้จากเรา

• เราจะตอบรายงานของคุณภายในสามวันอย่างละเอียด เราจะแนบการประเมินเวลาที่เราต้องใช้ในการ แก้ไขปัญหา แน่นอนว่าเราจะแจ้งความคืบหน้าให้คุณทราบเป็นประจำ

• เราจะแก้ไขช่องโหว่โดยเร็วที่สุด ในที่นี้ ความได้สัดส่วนก็สำคัญเช่นกัน: เวลาที่ต้องใช้ในการแก้ไข ช่องโหว่ขึ้นอยู่กับหลายปัจจัย รวมถึงความรุนแรงและ ความซับซ้อนของปัญหาที่อยู่ตรงหน้า

• เมื่อคุณปฏิบัติตามแนวทางที่วางไว้ที่นี่ เราจะไม่ดำเนินการทางกฎหมายต่อคุณเกี่ยวกับรายงานของคุณ

• เราให้ความสำคัญกับการให้เครดิตแก่คุณสำหรับสิ่งที่คุณทำ - หากคุณต้องการ เรา จะระบุชื่อคุณในสิ่งพิมพ์เกี่ยวกับช่องโหว่ก็ต่อเมื่อคุณยินยอมเท่านั้น

• เพื่อเป็นการขอบคุณที่ช่วยให้เราปกป้องระบบของเราได้ดียิ่งขึ้น เราต้องการ มอบรางวัลให้ทุกรายงานช่องโหว่ที่เราไม่ทราบมาก่อนในขณะนั้น รางวัลจะขึ้นอยู่กับความรุนแรงของช่องโหว่และคุณภาพของ รายงาน

หากคุณพบช่องโหว่ในซอฟต์แวร์ของบุคคลที่สามที่เราใช้ และช่องโหว่นั้นอยู่ภายใต้โครงการ bug bounty เราจะไม่พยายามเรียกร้องรางวัลนั้น คุณควรเป็นผู้เรียกร้อง