Fox-IT مربوط کمزوری افشا

Fox-IT میں ہم اپنے سسٹمز، اپنے نیٹ ورک اور اپنی مصنوعات کی سیکیورٹی کو انتہائی اہم سمجھتے ہیں۔ سیکیورٹی کے بارے میں ہماری بڑی احتیاط کے باوجود کمزور مقامات باقی رہ سکتے ہیں۔ اگر آپ کو ایسا کوئی کمزور مقام ملا ہے تو ہم اس کے بارے میں جلد از جلد سننا چاہیں گے تاکہ ہم جلد از جلد مناسب اقدامات کر سکیں۔

کمزور مقامات دو طریقوں سے دریافت ہو سکتے ہیں: آپ ڈیجیٹل ماحول کے عام استعمال کے دوران اتفاقاً کسی چیز سے ٹکرا سکتے ہیں، یا آپ انہیں تلاش کرنے کے لیے صراحتاً پوری کوشش کر سکتے ہیں۔

ہماری ذمہ دارانہ افشا کی پالیسی کمزور مقامات دریافت کرنے کے لیے ہمارے کاروباری نیٹ ورک کو فعال طور پر اسکین کرنے کی دعوت نہیں ہے۔ ہم اپنے کاروباری نیٹ ورک کی نگرانی خود کرتے ہیں۔ اس کا مطلب ہے کہ اسکین کے پکڑے جانے کا اور ہمارے سیکیورٹی آپریشن سینٹر (SOC) کی طرف سے تفتیش کیے جانے کا زیادہ امکان ہے، جس کے نتیجے میں غیر ضروری اخراجات ہو سکتے ہیں۔ تاہم آپ کو دعوت ہے کہ آف لائن غیر پیداواری ماحول میں ہماری مصنوعات میں کمزوریاں فعال طور پر تلاش کریں اور اپنی دریافتیں ہمیں رپورٹ کریں۔ ہمارے صارفین کے تئیں ہماری ذمہ داری کا مطلب ہے کہ ان کے بنیادی ڈھانچے پر ہیکنگ کی کوششوں کی حوصلہ افزائی ہمارا ارادہ نہیں؛ تاہم اگر کمزوریاں ملیں تو ہم آپ سے جلد از جلد سننا چاہیں گے تاکہ ہم انہیں مناسب طور پر حل کر سکیں۔

ہم آپ کے ساتھ کام کرنا چاہیں گے تاکہ اپنے صارفین اور اپنے سسٹمز کی بہتر حفاظت کر سکیں۔

ہم آپ سے درخواست کرتے ہیں کہ:

• اپنی دریافتیں جلد از جلد security-alert@fox-it.com پر ای میل کریں۔

• کمزوری کا غلط استعمال نہ کریں؛ مثلاً ڈیٹا ڈاؤن لوڈ، ایڈٹ یا حذف کر کے۔ ہم ہمیشہ آپ کی رپورٹ کو سنجیدگی سے لیں گے اور کمزوری کے کسی بھی شبہ کی تفتیش کریں گے، ثبوت کے بغیر بھی۔

• مسئلہ حل ہونے تک اسے دوسروں کے ساتھ شیئر نہ کریں۔

• جسمانی سیکیورٹی پر حملوں، سوشل انجینئرنگ یا ہیکنگ ٹولز، جیسے کمزوری اسکینرز، کا استعمال نہ کریں۔

• مسئلے کو دہرانے کے لیے مناسب معلومات دیں تاکہ ہم اسے جلد از جلد حل کر سکیں۔ عموماً متاثرہ سسٹم کا IP ایڈریس یا URL اور کمزوری کی وضاحت کافی ہوتی ہے، اگرچہ زیادہ پیچیدہ کمزوریوں کے لیے مزید معلومات کی ضرورت ہو سکتی ہے۔

ہم جس کا وعدہ کرتے ہیں:

• ہم تین کاروباری دنوں کے اندر رپورٹ کے اپنے جائزے اور متوقع حل کی تاریخ کے ساتھ آپ کی رپورٹ کا جواب دیں گے۔

• ہم آپ کی رپورٹ کو خفیہ طور پر سنبھالیں گے، اور آپ کی اجازت کے بغیر آپ کی ذاتی معلومات تیسرے فریقوں کے ساتھ شیئر نہیں کریں گے۔ اس کا استثنا استغاثے کی صورت میں یا معلومات طلب کیے جانے پر پولیس اور عدلیہ ہیں۔

• ہم مسئلے کے حل کی پیش رفت سے آپ کو باخبر رکھیں گے۔

• رپورٹ کیے گئے مسئلے کے بارے میں بات چیت میں، اگر آپ چاہیں تو ہم مسئلہ دریافت کرنے والے فریق کے طور پر آپ کا نام ذکر کریں گے۔

• افسوس کی بات ہے کہ پیشگی ضمانت دینا ممکن نہیں کہ آپ کے خلاف کوئی قانونی کارروائی نہیں کی جائے گی۔ ہم امید کرتے ہیں کہ ہر صورتحال پر انفرادی طور پر غور کر سکیں۔ اگر ہمیں شبہ ہو کہ کمزور مقام یا ڈیٹا کا غلط استعمال ہو رہا ہے، یا آپ نے کمزور مقام کا علم دوسروں کے ساتھ شیئر کیا ہے، تو ہم خود کو اخلاقاً پابند سمجھتے ہیں کہ آپ کی اطلاع دیں۔ آپ مطمئن رہ سکتے ہیں کہ ہمارے آن لائن ماحول میں کوئی اتفاقی دریافت استغاثے کا سبب نہیں بنے گی۔

• آپ کی مدد کے شکریے کے طور پر ہم ہر اس سیکیورٹی مسئلے کی رپورٹ پر انعام دیتے ہیں جو ہمیں معلوم نہیں۔ ہم انعام کی قدر خلاف ورزی کی شدت اور رپورٹ کے معیار کی بنیاد پر طے کرتے ہیں۔

ہم تمام مسائل کو جلد از جلد حل کرنے، تمام متعلقہ فریقوں کو باخبر رکھنے کی کوشش کرتے ہیں اور مسئلہ حل ہونے کے بعد اس کے بارے میں کسی بھی اشاعت میں شامل ہونا چاہیں گے۔

مثال: Bits of Freedom

ڈیجیٹل بنیادی ڈھانچے پر ہمارا انحصار مسلسل بڑھ رہا ہے۔ یہ پورے معاشرے پر لاگو ہوتا ہے، لیکن خود ہم پر بھی۔ اس لیے ہماری رائے ہے کہ حکومتوں اور اداروں (بشمول ہمارے) کو اپنے ڈیجیٹل بنیادی ڈھانچے کو محفوظ بنانے کے لیے مضبوطی سے پرعزم ہونا چاہیے۔ ہم جانتے ہیں کہ ہمارے بہترین ارادوں اور سب سے زیادہ احتیاط کے باوجود ہمارے سسٹمز میں کمزوریاں موجود ہو سکتی ہیں۔ اگر آپ کو ان کمزوریوں میں سے کوئی ملے تو ہم آپ سے سننا پسند کریں گے تاکہ ہم مسئلہ حل کر سکیں۔

ہم آپ سے کیا توقع کرتے ہیں

• جب آپ ہمارے کسی سسٹم کی تحقیق کر رہے ہوں تو حملے کے تناسب کو ذہن میں رکھیں۔ یہ ثابت کرنے کی ضرورت نہیں کہ جب آپ ہماری ویب سائٹ پر انٹرنیٹ کی تاریخ کا سب سے بڑا DDoS حملہ کریں تو سائٹ ناقابل رسائی ہو سکتی ہے۔ ہم یہ جانتے ہیں۔ ہم یہ بھی سمجھتے ہیں کہ اگر آپ بلڈوزر چلا کر ہمارے دفتر میں گھس جائیں تو شاید آپ ہمارا کوئی لیپ ٹاپ اچک سکیں گے۔

• تناسب کا یہ اصول کمزوری کو خود ثابت کرتے وقت بھی متعلقہ ہے۔ آپ کو اپنی دریافت کی درستی کی تصدیق کے لیے سختی سے ضروری مقدار سے زیادہ ڈیٹا کا معائنہ یا تبدیلی نہیں کرنی چاہیے۔ مثلاً اگر آپ ہمارا ہوم پیج تبدیل کر سکتے ہیں تو پورے صفحے پر قبضہ کرنے کے بجائے اس میں صرف ایک غیر متنازع لفظ شامل کریں۔ اگر آپ کسی ڈیٹا بیس تک رسائی حاصل کر سکتے ہیں تو ہمیں وہاں موجود ٹیبلز کی فہرست دکھانا کافی ہے، یا شاید ان ٹیبلز میں سے کسی ایک کا پہلا ریکارڈ۔

• ہمارے کسی سسٹم میں کمزوری کی اطلاع جلد از جلد security@bof.nl پر ای میل بھیج کر دی جانی چاہیے۔ بہتر ہے کہ آپ اپنا پیغام OpenPGP سے انکرپٹ کریں۔ براہ کرم کافی معلومات فراہم کریں تاکہ ہم مسئلے کو دہرا اور اس کی تفتیش کر سکیں۔

• security@bof.nl کی عوامی OpenPGP کلید

• آپ کمزوری کے بارے میں اپنا علم دوسرے فریقوں کے ساتھ شیئر نہیں کریں گے جب تک ہم نے مسئلہ حل نہ کیا ہو اور ہم آپ کے مسئلہ رپورٹ کرنے کے بعد سے ابھی معقول مدت کے اندر ہوں۔

• آپ اپنی تفتیش کے دوران حاصل کی گئی تمام خفیہ معلومات ہمارے کمزوری حل کرتے ہی حذف کر دیں گے۔

آپ ہم سے کیا توقع کر سکتے ہیں

• ہم تین دن کے اندر تفصیل سے آپ کی رپورٹ کا جواب دیں گے۔ ہم اس میں مسئلہ حل کرنے کے لیے درکار وقت کا اندازہ شامل کریں گے۔ بلاشبہ ہم باقاعدگی سے آپ کو اپنی پیش رفت سے باخبر رکھیں گے۔

• ہم کمزوری جلد از جلد حل کریں گے۔ یہاں بھی تناسب اہم ہے: کمزوری ٹھیک کرنے کے لیے درکار وقت کئی عوامل پر منحصر ہے، جن میں زیر بحث مسئلے کی شدت اور پیچیدگی شامل ہیں۔

• جب آپ یہاں بیان کردہ رہنما اصولوں پر عمل کریں گے تو ہم آپ کی رپورٹ کے سلسلے میں آپ کے خلاف قانونی کارروائی نہیں کریں گے۔

• ہمارے لیے یہ اہم ہے کہ آپ نے جو کیا اس کا کریڈٹ آپ کو دیں - اگر آپ چاہیں۔ ہم کمزوری سے متعلق کسی اشاعت میں آپ کا نام صرف اسی صورت میں ذکر کریں گے جب آپ اس سے اتفاق کریں۔

• ہمارے سسٹمز کی بہتر حفاظت میں مدد کرنے کے شکریے کے طور پر ہم اس وقت ہمارے لیے نامعلوم ہر کمزوری کی رپورٹ کو انعام دینا چاہیں گے۔ انعام کمزوری کی شدت اور رپورٹ کے معیار پر منحصر ہوگا۔

• اگر آپ کو ہمارے استعمال کردہ تیسرے فریق کے سافٹ ویئر میں کوئی کمزوری ملے اور وہ کمزوری بگ باؤنٹی پروگرام کے احاطے میں آتی ہو تو ہم اس باؤنٹی کا دعویٰ کرنے کی کوشش نہیں کریں گے؛ آپ کو کرنا چاہیے۔