Bits of Freedom - Koordineli Güvenlik Açığı Bildirimi

Dijital altyapıya bağımlılığımız giderek artıyor. Bu, bir bütün olarak toplum için olduğu kadar bizim için de geçerlidir. Bu nedenle, hükümetlerin ve kuruluşların (bizimki dahil) dijital altyapımızı güvence altına almaya güçlü bir şekilde bağlı olması gerektiği kanaatindeyiz. En iyi niyetlerimize ve en büyük özenimize rağmen sistemlerimizde güvenlik açıkları bulunabileceğinin farkındayız. Bu zayıflıklardan birini bulursanız, sorunu çözebilmemiz için sizden haber almaktan memnuniyet duyarız.

Sizden beklentilerimiz

Sistemlerimizden birini incelerken saldırının orantılılığını göz önünde bulundurun. Web sitemizi internet tarihindeki en büyük DDoS saldırısına maruz bıraktığınızda sitenin erişilemez hale gelebileceğini göstermenize gerek yok. Bunu biliyoruz. Ayrıca ofisimize bir buldozerle girerseniz muhtemelen dizüstü bilgisayarlarımızdan birini kapabileceğinizi de anlıyoruz.
Bu orantılılık ilkesi, güvenlik açığının kendisini göstermede de geçerlidir. Bulgunuzun geçerliliğini doğrulamak için kesinlikle gerekenden fazla veriyi incelememeli veya değiştirmemelisiniz. Örneğin ana sayfamızı değiştirebiliyorsanız, sayfanın tamamını ele geçirmek yerine oraya tek bir tartışmasız kelime ekleyin. Bir veritabanına erişim sağlayabiliyorsanız, içindeki tabloların bir listesini veya belki bu tablolardan birinin ilk kaydını göstermeniz yeterlidir.
Sistemlerimizden birindeki bir güvenlik açığı, mümkün olan en kısa sürede security@bof.nl adresine e-posta gönderilerek bildirilmelidir. Mesajınızı tercihen OpenPGP kullanarak şifrelemelisiniz. Sorunu yeniden üretip araştırabilmemiz için lütfen yeterli bilgi verin.
security@bof.nl için genel OpenPGP anahtarı
Biz sorunu ele almadığımız ve sorunu bildirdiğinizden bu yana hâlâ makul bir süre içinde olduğumuz sürece, güvenlik açığı hakkındaki bilginizi başka taraflarla paylaşmayacaksınız.
Soruşturmanız sırasında elde ettiğiniz tüm gizli bilgileri, güvenlik açığını çözer çözmez sileceksiniz.

Bizden beklentileriniz

Raporunuza üç gün içinde ayrıntılı bir şekilde yanıt vereceğiz. Sorunu ele almak için gerekli süreye dair bir tahmin ekleyeceğiz. Elbette ilerlememiz hakkında sizi düzenli olarak bilgilendireceğiz.
Güvenlik açığını mümkün olan en kısa sürede çözeceğiz. Burada da orantılılık önemlidir: bir güvenlik açığını düzeltmek için gereken süre, ele alınan sorunun ciddiyeti ve karmaşıklığı dahil birkaç faktöre bağlıdır.
Burada ortaya konan yönergelere uyarsanız, raporunuz nedeniyle size karşı yasal işlem yapmayacağız.
Yaptığınız şey için size - isterseniz - itibar kazandırmak bizim için önemlidir. Adınızı güvenlik açığıyla ilgili bir yayında yalnızca siz kabul ederseniz anacağız.
Sistemlerimizi daha iyi korumamıza yardım ettiğiniz için bir teşekkür olarak, o sırada bilmediğimiz her güvenlik açığı raporunu ödüllendirmek isteriz. Ödül, güvenlik açığının ciddiyetine ve raporun kalitesine bağlı olacaktır.
Kullandığımız üçüncü taraf yazılımda bir güvenlik açığı bulursanız ve bu açık bir hata ödül (bug bounty) programı kapsamındaysa, bu ödülü biz talep etmeye çalışmayacağız; bunu siz yapmalısınız.