Bits of Freedom - Công bố lỗ hổng bảo mật có phối hợp

Sự phụ thuộc của chúng ta vào hạ tầng số ngày càng tăng. Điều này đúng với toàn xã hội, nhưng cũng đúng với chính chúng tôi. Vì vậy, chúng tôi cho rằng các chính phủ và tổ chức (bao gồm cả tổ chức của chúng tôi) nên cam kết mạnh mẽ trong việc bảo vệ hạ tầng số của chúng ta. Chúng tôi nhận thức rõ rằng, dù có ý định tốt nhất và sự cẩn trọng lớn nhất, vẫn có thể tồn tại các lỗ hổng trong hệ thống của chúng tôi. Nếu bạn tình cờ tìm thấy một trong những điểm yếu này, chúng tôi rất muốn nghe từ bạn để có thể giải quyết vấn đề.

Những gì chúng tôi mong đợi ở bạn

• Khi bạn điều tra một trong các hệ thống của chúng tôi, hãy cân nhắc tính tương xứng của cuộc tấn công. Không cần phải chứng minh rằng khi bạn tung cuộc tấn công DDoS lớn nhất lịch sử Internet vào trang web của chúng tôi, trang web có thể trở nên không truy cập được. Chúng tôi biết điều đó. Chúng tôi cũng hiểu rằng nếu bạn lái một chiếc xe ủi vào văn phòng của chúng tôi, bạn có thể sẽ chộp được một trong những chiếc máy tính xách tay của chúng tôi.

• Nguyên tắc tương xứng này cũng áp dụng khi chứng minh chính lỗ hổng. Bạn không nên kiểm tra hay sửa đổi nhiều dữ liệu hơn mức thực sự cần thiết để xác nhận phát hiện của bạn là đúng. Chẳng hạn, nếu bạn có thể sửa trang chủ của chúng tôi, hãy chỉ thêm một từ không gây tranh cãi thay vì chiếm quyền cả trang. Nếu bạn có thể truy cập một cơ sở dữ liệu, chỉ cần cho chúng tôi xem danh sách các bảng trong đó, hoặc có lẽ là bản ghi đầu tiên trong một trong các bảng đó.

• Lỗ hổng trong một trong các hệ thống của chúng tôi nên được báo cáo càng sớm càng tốt bằng cách gửi email đến security@bof.nl. Tốt nhất là bạn mã hóa thư của mình bằng OpenPGP. Vui lòng cung cấp đủ thông tin để chúng tôi có thể tái hiện và điều tra vấn đề.

• Khóa công khai OpenPGP của security@bof.nl

• Bạn sẽ không chia sẻ hiểu biết của mình về lỗ hổng với các bên khác chừng nào chúng tôi chưa xử lý vấn đề và chúng tôi vẫn còn trong khung thời gian hợp lý kể từ khi bạn báo cáo vấn đề.

• Bạn sẽ xóa mọi thông tin bí mật mà bạn thu được trong quá trình điều tra ngay khi chúng tôi giải quyết xong lỗ hổng.

Những gì bạn có thể mong đợi ở chúng tôi

• Chúng tôi sẽ phản hồi báo cáo của bạn trong vòng ba ngày một cách chi tiết. Chúng tôi sẽ kèm theo ước tính thời gian cần thiết để xử lý vấn đề. Tất nhiên, chúng tôi sẽ thường xuyên cập nhật cho bạn về tiến độ của mình.

• Chúng tôi sẽ giải quyết lỗ hổng càng sớm càng tốt. Ở đây tính tương xứng cũng quan trọng: thời gian cần để sửa một lỗ hổng phụ thuộc vào nhiều yếu tố, trong đó có mức độ nghiêm trọng và độ phức tạp của vấn đề đang xét.

• Khi bạn tuân theo các hướng dẫn được nêu ở đây, chúng tôi sẽ không có hành động pháp lý nào chống lại bạn liên quan đến báo cáo của bạn.

• Việc ghi nhận công sức của bạn là quan trọng với chúng tôi - nếu bạn muốn. Chúng tôi chỉ nêu tên bạn trong bài công bố về lỗ hổng nếu bạn đồng ý.

• Để cảm ơn bạn đã giúp chúng tôi bảo vệ hệ thống tốt hơn, chúng tôi muốn thưởng cho mọi báo cáo về lỗ hổng mà chúng tôi chưa biết vào thời điểm đó. Phần thưởng sẽ phụ thuộc vào mức độ nghiêm trọng của lỗ hổng và chất lượng báo cáo.

• Nếu bạn tìm thấy lỗ hổng trong phần mềm của bên thứ ba mà chúng tôi sử dụng và lỗ hổng đó thuộc phạm vi một chương trình bug bounty, chúng tôi sẽ không cố đòi khoản thưởng đó; bạn nên làm vậy.