Fox-IT Công bố lỗ hổng bảo mật có phối hợp

Tại Fox-IT, chúng tôi coi an ninh của hệ thống, mạng và sản phẩm của mình là cực kỳ quan trọng. Dù chúng tôi rất cẩn trọng về bảo mật, vẫn có thể còn những điểm yếu. Nếu bạn đã tìm thấy một điểm yếu như vậy, chúng tôi muốn được nghe càng sớm càng tốt để có thể thực hiện các biện pháp phù hợp nhanh nhất có thể.

Các điểm yếu có thể được phát hiện theo hai cách: bạn có thể vô tình bắt gặp điều gì đó khi sử dụng bình thường một môi trường số, hoặc bạn có thể chủ động nỗ lực hết sức để tìm ra chúng.

Chính sách công bố có trách nhiệm của chúng tôi không phải là lời mời chủ động quét mạng kinh doanh của chúng tôi để phát hiện điểm yếu. Chúng tôi tự giám sát mạng kinh doanh của mình. Điều này có nghĩa là rất có khả năng việc quét sẽ bị phát hiện, và Trung tâm Điều hành An ninh (SOC) của chúng tôi sẽ tiến hành điều tra, điều có thể gây ra chi phí không cần thiết. Tuy nhiên, bạn được mời chủ động tìm kiếm lỗ hổng trong các sản phẩm của chúng tôi trong một môi trường ngoại tuyến không phải môi trường sản xuất và báo cáo các phát hiện của bạn cho chúng tôi. Trách nhiệm của chúng tôi đối với khách hàng có nghĩa là chúng tôi không có ý định khuyến khích các nỗ lực tấn công hạ tầng của họ; tuy nhiên, chúng tôi muốn nghe từ bạn càng nhanh càng tốt nếu tìm thấy lỗ hổng, để có thể giải quyết chúng một cách thỏa đáng.

Chúng tôi muốn làm việc với bạn để có thể bảo vệ khách hàng và hệ thống của mình tốt hơn.

Chúng tôi đề nghị bạn:

• Gửi email các phát hiện của bạn càng nhanh càng tốt đến security-alert@fox-it.com.

• Không lợi dụng lỗ hổng; chẳng hạn bằng cách tải xuống, chỉnh sửa hoặc xóa dữ liệu. Chúng tôi luôn xem xét báo cáo của bạn một cách nghiêm túc và điều tra mọi nghi ngờ về lỗ hổng, kể cả khi không có bằng chứng.

• Không chia sẻ vấn đề với người khác cho đến khi nó được giải quyết.

• Không dùng các cuộc tấn công vào an ninh vật lý, kỹ thuật xã hội hay các công cụ tấn công, chẳng hạn trình quét lỗ hổng.

• Cung cấp đủ thông tin để có thể tái hiện vấn đề để chúng tôi giải quyết nó nhanh nhất có thể. Thường thì địa chỉ IP hoặc URL của hệ thống bị ảnh hưởng và mô tả về lỗ hổng là đủ, mặc dù các lỗ hổng phức tạp hơn có thể cần thêm thông tin.

Những gì chúng tôi hứa:

• Chúng tôi sẽ phản hồi báo cáo của bạn trong vòng ba ngày làm việc, kèm đánh giá của chúng tôi về báo cáo và ngày dự kiến giải quyết.

• Chúng tôi sẽ xử lý báo cáo của bạn một cách bí mật và sẽ không chia sẻ thông tin cá nhân của bạn với bên thứ ba nếu không có sự cho phép của bạn. Ngoại lệ là cảnh sát và cơ quan tư pháp trong trường hợp truy tố hoặc khi thông tin bị yêu cầu.

• Chúng tôi sẽ thông báo cho bạn về tiến độ giải quyết vấn đề.

• Khi trao đổi về vấn đề được báo cáo, chúng tôi sẽ nêu tên bạn là bên đã phát hiện vấn đề, nếu bạn muốn.

• Rất tiếc không thể đảm bảo trước rằng sẽ không có hành động pháp lý nào chống lại bạn. Chúng tôi hy vọng có thể xem xét từng tình huống riêng biệt. Chúng tôi tự coi mình có nghĩa vụ đạo đức phải tố giác bạn nếu nghi ngờ điểm yếu hoặc dữ liệu đang bị lạm dụng, hoặc bạn đã chia sẻ hiểu biết về điểm yếu với người khác. Bạn có thể yên tâm rằng một phát hiện tình cờ trong môi trường trực tuyến của chúng tôi sẽ không dẫn đến truy tố.

• Để cảm ơn sự giúp đỡ của bạn, chúng tôi trao phần thưởng cho mỗi báo cáo về một vấn đề bảo mật mà chúng tôi chưa biết. Chúng tôi xác định giá trị phần thưởng dựa trên mức độ nghiêm trọng của vụ xâm phạm và chất lượng báo cáo.

Chúng tôi cố gắng giải quyết mọi vấn đề càng nhanh càng tốt, thông báo cho tất cả các bên liên quan, và chúng tôi muốn tham gia vào bất kỳ bài công bố nào về vấn đề sau khi nó được giải quyết.

Ví dụ: Bits of Freedom

Sự phụ thuộc của chúng ta vào hạ tầng số ngày càng tăng. Điều này đúng với toàn xã hội, nhưng cũng đúng với chính chúng tôi. Vì vậy, chúng tôi cho rằng các chính phủ và tổ chức (bao gồm cả tổ chức của chúng tôi) nên cam kết mạnh mẽ trong việc bảo vệ hạ tầng số của chúng ta. Chúng tôi nhận thức rõ rằng, dù có ý định tốt nhất và sự cẩn trọng lớn nhất, vẫn có thể tồn tại các lỗ hổng trong hệ thống của chúng tôi. Nếu bạn tình cờ tìm thấy một trong những điểm yếu này, chúng tôi rất muốn nghe từ bạn để có thể giải quyết vấn đề.

Những gì chúng tôi mong đợi ở bạn

• Khi bạn điều tra một trong các hệ thống của chúng tôi, hãy cân nhắc tính tương xứng của cuộc tấn công. Không cần phải chứng minh rằng khi bạn tung cuộc tấn công DDoS lớn nhất lịch sử Internet vào trang web của chúng tôi, trang web có thể trở nên không truy cập được. Chúng tôi biết điều đó. Chúng tôi cũng hiểu rằng nếu bạn lái một chiếc xe ủi vào văn phòng của chúng tôi, bạn có thể sẽ chộp được một trong những chiếc máy tính xách tay của chúng tôi.

• Nguyên tắc tương xứng này cũng áp dụng khi chứng minh chính lỗ hổng. Bạn không nên kiểm tra hay sửa đổi nhiều dữ liệu hơn mức thực sự cần thiết để xác nhận phát hiện của bạn là đúng. Chẳng hạn, nếu bạn có thể sửa trang chủ của chúng tôi, hãy chỉ thêm một từ không gây tranh cãi thay vì chiếm quyền cả trang. Nếu bạn có thể truy cập một cơ sở dữ liệu, chỉ cần cho chúng tôi xem danh sách các bảng trong đó, hoặc có lẽ là bản ghi đầu tiên trong một trong các bảng đó.

• Lỗ hổng trong một trong các hệ thống của chúng tôi nên được báo cáo càng sớm càng tốt bằng cách gửi email đến security@bof.nl. Tốt nhất là bạn mã hóa thư của mình bằng OpenPGP. Vui lòng cung cấp đủ thông tin để chúng tôi có thể tái hiện và điều tra vấn đề.

• Khóa công khai OpenPGP của security@bof.nl

• Bạn sẽ không chia sẻ hiểu biết của mình về lỗ hổng với các bên khác chừng nào chúng tôi chưa xử lý vấn đề và chúng tôi vẫn còn trong khung thời gian hợp lý kể từ khi bạn báo cáo vấn đề.

• Bạn sẽ xóa mọi thông tin bí mật mà bạn thu được trong quá trình điều tra ngay khi chúng tôi giải quyết xong lỗ hổng.

Những gì bạn có thể mong đợi ở chúng tôi

• Chúng tôi sẽ phản hồi báo cáo của bạn trong vòng ba ngày một cách chi tiết. Chúng tôi sẽ kèm theo ước tính thời gian cần thiết để xử lý vấn đề. Tất nhiên, chúng tôi sẽ thường xuyên cập nhật cho bạn về tiến độ của mình.

• Chúng tôi sẽ giải quyết lỗ hổng càng sớm càng tốt. Ở đây tính tương xứng cũng quan trọng: thời gian cần để sửa một lỗ hổng phụ thuộc vào nhiều yếu tố, trong đó có mức độ nghiêm trọng và độ phức tạp của vấn đề đang xét.

• Khi bạn tuân theo các hướng dẫn được nêu ở đây, chúng tôi sẽ không có hành động pháp lý nào chống lại bạn liên quan đến báo cáo của bạn.

• Việc ghi nhận công sức của bạn là quan trọng với chúng tôi - nếu bạn muốn. Chúng tôi chỉ nêu tên bạn trong bài công bố về lỗ hổng nếu bạn đồng ý.

• Để cảm ơn bạn đã giúp chúng tôi bảo vệ hệ thống tốt hơn, chúng tôi muốn thưởng cho mọi báo cáo về lỗ hổng mà chúng tôi chưa biết vào thời điểm đó. Phần thưởng sẽ phụ thuộc vào mức độ nghiêm trọng của lỗ hổng và chất lượng báo cáo.

• Nếu bạn tìm thấy lỗ hổng trong phần mềm của bên thứ ba mà chúng tôi sử dụng và lỗ hổng đó thuộc phạm vi một chương trình bug bounty, chúng tôi sẽ không cố đòi khoản thưởng đó; bạn nên làm vậy.