Program nagród za bezpieczeństwo

Poza zakresem

Nie przyjmujemy zgłoszeń w następujących kategoriach:

• Możliwość tworzenia kont użytkowników bez żadnych ograniczeń
• Możliwość wykonania akcji niedostępnej za pośrednictwem interfejsu użytkownika bez zidentyfikowanych zagrożeń bezpieczeństwa
• Możliwość wysyłki e-maili bez kontroli nad zawartością i bez żadnych limitów
• Wszelkie działania, które mogą prowadzić do zakłócenia działania naszych usług (DoS).
• Ataki wymagające MiTM lub fizycznego dostępu do urządzenia użytkownika
• Clickjacking
• Manipulacja treścią i wprowadzanie tekstu
• CSV injection bez wykazywania podatności
• Zasada otwartości informacji niewrażliwych, takich jak wersja produktu, ścieżka dostępu do pliku na serwerze, stos wywołań, itp.
• Ujawnienie pochodzenia i prywatnych adresów IP lub domen wskazujących na prywatne adresy IP
• Przeciek wrażliwych tokenów (na przykład token resetowania hasła) do zaufanych stron trzecich podczas bezpiecznego połączenia (HTTPS)
• Nie zastosowano najlepszych praktyk w konfiguracji SSL/TLS
• Brakujące najlepsze praktyki w konfiguracji DNS (DKIM/DMARC/SPF/TXT)
• Nie wykazano luki w zabezpieczeniach pomimo braku najlepszych praktyk w nagłówkach HTTP
• Brakujące powiadomienia o istotnych czynnościach
• Brakujący mechanizm ochrony lub najlepsze praktyki bez dowodzenia rzeczywistego wpływu na bezpieczeństwo użytkownika lub systemu.
• Poprzednio znane biblioteki podatne na ataki, bez udowodnionej słuszności koncepcji)
• Raporty, które zawierają jedynie zrzuty awaryjne lub wyniki z automatycznych narzędzi, ale nie zawierają praktycznego dowodu na poprawność koncepcji.
• Nieuwierzytelnione/logowanie/wylogowanie CSRF
• Wyszczególnienie użytkowników
• Wektory, które potrzebują środowiska bez zainstalowanych poprawek (na przykład brakujące aktualizacje Windows)
• Wektory, które wymagają wersji przeglądarki wydanej co najmniej 6 miesięcy przed zgłoszeniem raportu
• Brak ograniczenia szybkości w punktach końcowych
• Cross-Site Request Forgery (CSRF)

Jak zgłosić lukę w zabezpieczeniach

Luki w zabezpieczeniach można przesyłać do nas pocztą elektroniczną na adres [email protected].

W swoim e-mailu krótko opisz wykrytą lukę bezpieczeństwa. W szczególności dołącz do swojego e-maila następujące informacje:

• Która słabość
• Podjęte kroki
• Cały adres URL
• Obiekty zaangażowane (takie jak filtry lub pola wprowadzania)
• Zrzuty ekranu i filmy z ekranu są bardzo mile widziane
• Podaj swój adres IP w raporcie o błędzie. Będzie on traktowany jako prywatny i wykorzystany do monitorowania twoich działań testowych oraz do przeglądania logów z naszej strony.
• Opisz napotkany problem jak najbardziej precyzyjnie i szczegółowo, dostarczając wszelkich dostępnych dowodów. Możesz założyć, że powiadomienie trafi do specjalistów

Zasady

Weź na siebie odpowiedzialność i działaj z najwyższą ostrożnością i rozwagą. Podczas badania sprawy używaj tylko metod lub technik, które są niezbędne do znalezienia lub zademonstrowania luk w zabezpieczeniach.

• Bądź etycznym hakerem i szanuj prywatność innych użytkowników.
• Nie należy wykorzystywać wykrytych luk w zabezpieczeniach do celów innych niż własne dochodzenie
• Nie ujawniaj luk w zabezpieczeniach innym stronom niż Cryptohopper, daj nam rozsądną ilość czasu na rozwiązanie problemu przed ujawnieniem go publicznie lub stronie trzeciej.
• Nie używaj inżynierii społecznej w celu uzyskania dostępu do systemu.
• Nie instaluj żadnych backdoorów – nawet jeżeli Twoim celem jest zademonstrowanie podatności systemu na ataki. Backdoory naruszą bezpieczeństwo systemów
• Nie wprowadzaj zmian ani nie usuwaj żadnych danych w systemie. W przypadku konieczności skopiowania informacji do celów śledztwa, kopiuj tylko tyle, ile jest Ci potrzebne. Jeśli wystarczy Ci jeden rekord, nie szukaj dalej
• Nie należy w żaden sposób modyfikować systemu
• Infiltruj system tylko wtedy, gdy jest to absolutnie konieczne. Jeśli uda Ci się przeniknąć do systemu, nie udostępniaj dostępu innym osobom
• Unikaj technik polegających na wielokrotnym wpisywaniu haseł, czyli tzw. metod siłowych, aby uzyskać dostęp do systemów.
• Zabezpiecz własne systemy tak szczelnie, jak to tylko możliwe.

Nagrody

W naszym systemie nagród zachowujemy elastyczność i nie ustalamy minimalnej/maksymalnej kwoty; nagrody są przyznawane na podstawie skutków, wpływu i jakości zgłoszenia. Aby być uprawnionym do otrzymania nagrody, musisz mieszkać w kraju, który nie jest objęty sankcjami (np. Kuba, Iran, Korea Północna, Sudan i Syria). Program jest uznaniowy i Cryptohopper ma prawo do jego anulowania; decyzja o przyznaniu nagrody leży w naszej gestii.

Dodatkowe uwagi:

• W przypadku duplikatów nagradzamy tylko pierwszy otrzymany raport
• Wiele luk w zabezpieczeniach spowodowanych przez jeden podstawowy błąd zostanie nagrodzonych jednym wynagrodzeniem
• Aby nasi inżynierowie mogli odtworzyć zgłoszoną lukę w zabezpieczeniach, zgłoszenia muszą być precyzyjne i jasne. Zbyt ogólnikowe lub niejasne zgłoszenia nie będą brane pod uwagę przy przyznawaniu nagród. Zgłoszenia zawierające klarowne wyjaśnienia i działający kod mają większą szansę na otrzymanie nagrody