Fox-IT: скоординоване розкриття вразливостей

У Fox-IT ми вважаємо безпеку наших систем, нашої мережі та наших продуктів надзвичайно важливою. Попри велику обережність, яку ми виявляємо щодо безпеки, слабкі місця все ще можуть залишатися. Якщо ви знайшли таку слабкість, ми хотіли б дізнатися про це якнайшвидше, щоб ми могли вжити відповідних заходів якомога швидше.

Слабкі місця можна виявити двома способами: ви можете випадково натрапити на щось під час звичайного використання цифрового середовища, або ви можете цілеспрямовано робити все можливе, щоб їх знайти.

Наша політика відповідального розкриття не є запрошенням до активного сканування нашої бізнес-мережі для виявлення слабких місць. Ми самі моніторимо нашу бізнес-мережу. Це означає, що існує висока ймовірність, що сканування буде виявлено, і що розслідування проведе наш Центр операцій безпеки (Security Operation Center, SOC), що може призвести до непотрібних витрат. Однак вас запрошують активно шукати вразливості в наших продуктах в офлайн-середовищі, не призначеному для промислової експлуатації, і повідомляти нам про свої знахідки. Наша відповідальність перед клієнтами означає, що ми не маємо наміру заохочувати спроби злому їхньої інфраструктури; проте ми хотіли б почути від вас якнайшвидше, якщо вразливості буде знайдено, щоб ми могли належним чином їх усунути.

Ми хотіли б співпрацювати з вами, щоб краще захищати наших клієнтів і наші системи.

Ми просимо вас:

Надсилати свої знахідки електронною поштою якнайшвидше на security-alert@fox-it.com.
Не зловживати вразливістю; наприклад, завантажуючи, редагуючи чи видаляючи дані. Ми завжди серйозно сприйматимемо ваш звіт і досліджуватимемо будь-які підозри щодо вразливості, навіть без доказів.
Не ділитися проблемою з іншими, доки її не буде розв'язано.
Не використовувати атаки на фізичну безпеку, соціальну інженерію чи хакерські інструменти, такі як сканери вразливостей.
Надавати достатньо інформації для відтворення проблеми, щоб ми могли розв'язати її якнайшвидше. Зазвичай достатньо IP-адреси або URL ураженої системи та опису вразливості, хоча для складніших вразливостей може знадобитися більше інформації.

Що ми обіцяємо:

Ми відповімо на ваш звіт протягом трьох робочих днів із нашою оцінкою звіту й очікуваною датою розв'язання.
Ми обробляватимемо ваш звіт конфіденційно й не ділитимемося вашою особистою інформацією з третіми сторонами без вашого дозволу. Винятком є поліція та судові органи у разі переслідування або якщо інформацію вимагають.
Ми інформуватимемо вас про прогрес у розв'язанні проблеми.
У комунікації про повідомлену проблему ми, якщо ви цього побажаєте, вкажемо ваше ім'я як сторони, що виявила проблему.
На жаль, неможливо заздалегідь гарантувати, що проти вас не буде вжито жодних юридичних заходів. Ми сподіваємося мати можливість розглядати кожну ситуацію індивідуально. Ми вважаємо себе морально зобов'язаними повідомити про вас, якщо ми підозрюємо, що слабкістю чи даними зловживають, або що ви поділилися знанням про слабкість з іншими. Ви можете бути впевнені, що випадкове виявлення в нашому онлайн-середовищі не призведе до переслідування.
Як подяку за вашу допомогу ми пропонуємо винагороду за кожен звіт про проблему безпеки, яка нам невідома. Ми визначаємо розмір винагороди на основі серйозності порушення та якості звіту.

Ми прагнемо розв'язувати всі проблеми якнайшвидше, інформувати всі залучені сторони й хотіли б брати участь у будь-якій публікації про проблему після її розв'язання.

Приклад: Bits of Freedom

Наша залежність від цифрової інфраструктури постійно зростає. Це стосується суспільства в цілому, але й нас самих. Тому, на нашу думку, уряди й організації (включно з нашою) мають рішуче зобов'язатися захищати нашу цифрову інфраструктуру. Ми усвідомлюємо, що попри наші найкращі наміри та найбільшу обережність у наших системах можуть існувати вразливості. Якщо ви випадково знайдете одну з цих слабкостей, ми будемо раді почути від вас, щоб ми могли розв'язати проблему.

Чого ми очікуємо від вас

Коли ви досліджуєте одну з наших систем, пам'ятайте про співмірність атаки. Немає потреби демонструвати, що коли ви піддаєте наш вебсайт найбільшій DDoS-атаці в історії інтернету, сайт може стати недоступним. Ми це знаємо. Ми також розуміємо, що якщо ви в'їдете бульдозером в наш офіс, ви, ймовірно, зможете вихопити один з наших ноутбуків.
Цей принцип співмірності також доречний при демонстрації самої вразливості. Ви не повинні переглядати чи змінювати більше даних, ніж це суворо необхідно для підтвердження обґрунтованості вашої знахідки. Наприклад, якщо ви можете змінити нашу домашню сторінку, просто додайте до неї одне безспірне слово замість того, щоб захоплювати всю сторінку. Якщо ви можете отримати доступ до бази даних, достатньо показати нам перелік таблиць, що в ній є, або, можливо, перший запис в одній з цих таблиць.
Про вразливість в одній з наших систем слід повідомити якнайшвидше, надіславши листа на security@bof.nl. Бажано зашифрувати ваше повідомлення за допомогою OpenPGP. Будь ласка, надайте достатньо інформації, щоб ми могли відтворити й дослідити проблему.
Публічний ключ OpenPGP для security@bof.nl
Ви не ділитиметеся своїми знаннями про вразливість з іншими сторонами, доки ми не усунули проблему й ми ще перебуваємо в розумному часовому проміжку з моменту, коли ви повідомили про проблему.
Ви видалите всю конфіденційну інформацію, отриману під час вашого дослідження, щойно ми усунемо вразливість.

Чого ви можете очікувати від нас

Ми відповімо на ваш звіт протягом трьох днів докладно. Ми додамо оцінку часу, який нам знадобиться для усунення проблеми. Звісно, ми регулярно інформуватимемо вас про наш прогрес.
Ми усунемо вразливість якнайшвидше. Тут також важлива співмірність: час, необхідний для виправлення вразливості, залежить від кількох факторів, серед яких серйозність і складність поточної проблеми.
Коли ви дотримуєтеся викладених тут настанов, ми не вживатимемо юридичних заходів проти вас щодо вашого звіту.
Для нас важливо віддати вам належне за те, що ви зробили, — якщо ви цього хочете. Ми згадаємо ваше ім'я в публікації про вразливість лише якщо ви на це погодитеся.
На знак подяки за допомогу в кращому захисті наших систем ми хочемо винагородити кожен звіт про вразливість, яка була нам невідома на той момент. Винагорода залежатиме від серйозності вразливості та якості звіту.

Якщо ви знайдете вразливість у стороннього програмного забезпечення, яке ми використовуємо, і ця вразливість охоплена програмою bug bounty, ми не намагатимемося претендувати на цю винагороду; це маєте зробити ви.