Bits of Freedom - مربوط کمزوری افشا

ڈیجیٹل بنیادی ڈھانچے پر ہمارا انحصار مسلسل بڑھ رہا ہے۔ یہ پورے معاشرے پر لاگو ہوتا ہے، لیکن خود ہم پر بھی۔ اس لیے ہماری رائے ہے کہ حکومتوں اور اداروں (بشمول ہمارے) کو اپنے ڈیجیٹل بنیادی ڈھانچے کو محفوظ بنانے کے لیے مضبوطی سے پرعزم ہونا چاہیے۔ ہم جانتے ہیں کہ ہمارے بہترین ارادوں اور سب سے زیادہ احتیاط کے باوجود ہمارے سسٹمز میں کمزوریاں موجود ہو سکتی ہیں۔ اگر آپ کو ان کمزوریوں میں سے کوئی ملے تو ہم آپ سے سننا پسند کریں گے تاکہ ہم مسئلہ حل کر سکیں۔

ہم آپ سے کیا توقع کرتے ہیں

• جب آپ ہمارے کسی سسٹم کی تحقیق کر رہے ہوں تو حملے کے تناسب کو ذہن میں رکھیں۔ یہ ثابت کرنے کی ضرورت نہیں کہ جب آپ ہماری ویب سائٹ پر انٹرنیٹ کی تاریخ کا سب سے بڑا DDoS حملہ کریں تو سائٹ ناقابل رسائی ہو سکتی ہے۔ ہم یہ جانتے ہیں۔ ہم یہ بھی سمجھتے ہیں کہ اگر آپ بلڈوزر چلا کر ہمارے دفتر میں گھس جائیں تو شاید آپ ہمارا کوئی لیپ ٹاپ اچک سکیں گے۔

• تناسب کا یہ اصول کمزوری کو خود ثابت کرتے وقت بھی متعلقہ ہے۔ آپ کو اپنی دریافت کی درستی کی تصدیق کے لیے سختی سے ضروری مقدار سے زیادہ ڈیٹا کا معائنہ یا تبدیلی نہیں کرنی چاہیے۔ مثلاً اگر آپ ہمارا ہوم پیج تبدیل کر سکتے ہیں تو پورے صفحے پر قبضہ کرنے کے بجائے اس میں صرف ایک غیر متنازع لفظ شامل کریں۔ اگر آپ کسی ڈیٹا بیس تک رسائی حاصل کر سکتے ہیں تو ہمیں وہاں موجود ٹیبلز کی فہرست دکھانا کافی ہے، یا شاید ان ٹیبلز میں سے کسی ایک کا پہلا ریکارڈ۔

• ہمارے کسی سسٹم میں کمزوری کی اطلاع جلد از جلد security@bof.nl پر ای میل بھیج کر دی جانی چاہیے۔ بہتر ہے کہ آپ اپنا پیغام OpenPGP سے انکرپٹ کریں۔ براہ کرم کافی معلومات فراہم کریں تاکہ ہم مسئلے کو دہرا اور اس کی تفتیش کر سکیں۔

• security@bof.nl کی عوامی OpenPGP کلید

• آپ کمزوری کے بارے میں اپنا علم دوسرے فریقوں کے ساتھ شیئر نہیں کریں گے جب تک ہم نے مسئلہ حل نہ کیا ہو اور ہم آپ کے مسئلہ رپورٹ کرنے کے بعد سے ابھی معقول مدت کے اندر ہوں۔

• آپ اپنی تفتیش کے دوران حاصل کی گئی تمام خفیہ معلومات ہمارے کمزوری حل کرتے ہی حذف کر دیں گے۔

آپ ہم سے کیا توقع کر سکتے ہیں

• ہم تین دن کے اندر تفصیل سے آپ کی رپورٹ کا جواب دیں گے۔ ہم اس میں مسئلہ حل کرنے کے لیے درکار وقت کا اندازہ شامل کریں گے۔ بلاشبہ ہم باقاعدگی سے آپ کو اپنی پیش رفت سے باخبر رکھیں گے۔

• ہم کمزوری جلد از جلد حل کریں گے۔ یہاں بھی تناسب اہم ہے: کمزوری ٹھیک کرنے کے لیے درکار وقت کئی عوامل پر منحصر ہے، جن میں زیر بحث مسئلے کی شدت اور پیچیدگی شامل ہیں۔

• جب آپ یہاں بیان کردہ رہنما اصولوں پر عمل کریں گے تو ہم آپ کی رپورٹ کے سلسلے میں آپ کے خلاف قانونی کارروائی نہیں کریں گے۔

• ہمارے لیے یہ اہم ہے کہ آپ نے جو کیا اس کا کریڈٹ آپ کو دیں - اگر آپ چاہیں۔ ہم کمزوری سے متعلق کسی اشاعت میں آپ کا نام صرف اسی صورت میں ذکر کریں گے جب آپ اس سے اتفاق کریں۔

• ہمارے سسٹمز کی بہتر حفاظت میں مدد کرنے کے شکریے کے طور پر ہم اس وقت ہمارے لیے نامعلوم ہر کمزوری کی رپورٹ کو انعام دینا چاہیں گے۔ انعام کمزوری کی شدت اور رپورٹ کے معیار پر منحصر ہوگا۔

• اگر آپ کو ہمارے استعمال کردہ تیسرے فریق کے سافٹ ویئر میں کوئی کمزوری ملے اور وہ کمزوری بگ باؤنٹی پروگرام کے احاطے میں آتی ہو تو ہم اس باؤنٹی کا دعویٰ کرنے کی کوشش نہیں کریں گے؛ آپ کو کرنا چاہیے۔