Bits of Freedom – скоординоване розкриття вразливостей

Наша залежність від цифрової інфраструктури постійно зростає. Це стосується суспільства в цілому, але й нас самих. Тому, на нашу думку, уряди й організації (включно з нашою) мають рішуче зобов'язатися захищати нашу цифрову інфраструктуру. Ми усвідомлюємо, що попри наші найкращі наміри та найбільшу обережність у наших системах можуть існувати вразливості. Якщо ви випадково знайдете одну з цих слабкостей, ми будемо раді почути від вас, щоб ми могли розв'язати проблему.

Чого ми очікуємо від вас

Коли ви досліджуєте одну з наших систем, пам'ятайте про співмірність атаки. Немає потреби демонструвати, що коли ви піддаєте наш вебсайт найбільшій DDoS-атаці в історії інтернету, сайт може стати недоступним. Ми це знаємо. Ми також розуміємо, що якщо ви в'їдете бульдозером в наш офіс, ви, ймовірно, зможете вихопити один з наших ноутбуків.
Цей принцип співмірності також доречний при демонстрації самої вразливості. Ви не повинні переглядати чи змінювати більше даних, ніж це суворо необхідно для підтвердження обґрунтованості вашої знахідки. Наприклад, якщо ви можете змінити нашу домашню сторінку, просто додайте до неї одне безспірне слово замість того, щоб захоплювати всю сторінку. Якщо ви можете отримати доступ до бази даних, достатньо показати нам перелік таблиць, що в ній є, або, можливо, перший запис в одній з цих таблиць.
Про вразливість в одній з наших систем слід повідомити якнайшвидше, надіславши листа на security@bof.nl. Бажано зашифрувати ваше повідомлення за допомогою OpenPGP. Будь ласка, надайте достатньо інформації, щоб ми могли відтворити й дослідити проблему.
Публічний ключ OpenPGP для security@bof.nl
Ви не ділитиметеся своїми знаннями про вразливість з іншими сторонами, доки ми не усунули проблему й ми ще перебуваємо в розумному часовому проміжку з моменту, коли ви повідомили про проблему.
Ви видалите всю конфіденційну інформацію, отриману під час вашого дослідження, щойно ми усунемо вразливість.

Чого ви можете очікувати від нас

Ми відповімо на ваш звіт протягом трьох днів докладно. Ми додамо оцінку часу, який нам знадобиться для усунення проблеми. Звісно, ми регулярно інформуватимемо вас про наш прогрес.
Ми усунемо вразливість якнайшвидше. Тут також важлива співмірність: час, необхідний для виправлення вразливості, залежить від кількох факторів, серед яких серйозність і складність поточної проблеми.
Коли ви дотримуєтеся викладених тут настанов, ми не вживатимемо юридичних заходів проти вас щодо вашого звіту.
Для нас важливо віддати вам належне за те, що ви зробили, — якщо ви цього хочете. Ми згадаємо ваше ім'я в публікації про вразливість лише якщо ви на це погодитеся.
На знак подяки за допомогу в кращому захисті наших систем ми хочемо винагородити кожен звіт про вразливість, яка була нам невідома на той момент. Винагорода залежатиме від серйозності вразливості та якості звіту.
Якщо ви знайдете вразливість у стороннього програмного забезпечення, яке ми використовуємо, і ця вразливість охоплена програмою bug bounty, ми не намагатимемося претендувати на цю винагороду; це маєте зробити ви.