Настоящата Политика за отговорно оповестяване е допълнение към нашитеУсловия за ползване на .

Bouncer Sp. z.o.o (LTD) („ние“, „нас“ или „наш“) се ангажира да гарантира безопасността и сигурността на нашите клиенти и служители.

Стремим се да насърчаваме среда на доверие и открито партньорство с общността по сигурността и признаваме важността на разкриването на уязвимости и на лицата, подаващи сигнали за нередности, за да продължим да гарантираме безопасността и сигурността на всички наши клиенти, служители и компания.

Разработихме тази политика, за да отразим корпоративните си ценности и да спазим правната си отговорност към добросъвестните изследователи на сигурността, които ни предоставят своя експертен опит, и към лицата, подаващи сигнали за нередности, които добавят допълнително ниво на сигурност към нашата инфраструктура.

Как да изпратите уязвимост

За да изпратите доклад за уязвимост до екипа по сигурността на продуктите на Bouncer, моля, използвайте следния имейл [email protected].

Предпочитания, приоритети и критерии за приемливост

Ще използваме следните критерии, за да подредим подадените документи по важност.

Какво бихме искали да видим от вас:

• Добре написаните доклади на английски език ще имат по-голяма вероятност да бъдат разрешени.
• Докладите, които включват код за доказване на концепцията, ни дават възможност за по-добра сортировка.
• Докладите, които включват само сривове или други автоматични инструменти, могат да получат по-нисък приоритет.
• Докладите, които включват продукти, които не са включени в първоначалния списък на обхвата, могат да получат по-нисък приоритет.
• Моля, посочете начина, по който сте открили грешката, нейното въздействие и евентуално отстраняване.
• Моля, включете всички планове или намерения за публично оповестяване.
• Също така, моля, имайте предвид, че маркирането на всички доклади като [Критично спешни], независимо от въздействието, е непрофесионално и ни кара да се отнасяме по-малко сериозно към вашите доклади.

Какво можете да очаквате от Bouncer:

• Навременен отговор на вашия имейл (в рамките на 5 работни дни).
• След триажа ще изпратим очакван график и ще се ангажираме да бъдем максимално прозрачни по отношение на графика за отстраняване, както и по отношение на проблеми или предизвикателства, които могат да го удължат.
• Отворен диалог за обсъждане на въпроси.
• Уведомяване, когато анализът на уязвимостите е завършил всеки етап от нашия преглед.
• Кредит, след като уязвимостта е била потвърдена и отстранена.

Ако не сме в състояние да разрешим проблеми с комуникацията или други проблеми, Bouncer може да привлече неутрална трета страна, която да помогне при определянето на най-добрия начин за справяне с уязвимостта.

Кои въпроси се считат за извън обхвата:

• Практики в областта на сигурността, при които съществуват други мерки за смекчаване, напр. липсващи заглавия за сигурност и др.
• Социално инженерство, фишинг
• Физически атаки
• Превземане на поддомейни
• Clickjacking
• Самостоятелен XSS
• Подправяне на имейли – Грешни конфигурации за удостоверяване на имейли
• Липсващи флагове за бисквитки
• CSRF с минимално въздействие, напр. CSRF за влизане, CSRF за излизане и др.
• Подмяна на съдържанието
• Следи от стекове, разкриване на пътища, списъци с директории
• Контроли на SSL/TLS, когато съществуват други смекчаващи контроли
• Прихващане на банери
• Впръскване на CSV
• Изтегляне на отразения файл
• Доклади за остарели браузъри
• Доклади за остарели версии/билдове на мобилни приложения в обхвата
• DOS/DDOS
• Инжектиране на заглавието на хоста без видимо въздействие
• Изходи на скенера
• Уязвимости в продукти на трети страни
• Изброяване на потребители
• Сложност на паролата
• Метод за проследяване на HTTP

Награди

Наградите ни се определят в зависимост от сериозността на уязвимостта.
Ще се радваме да ви компенсираме за вашия принос, когато публикувате доклад за уязвимост, за която все още не сме знаели. Също така, няколко уязвимости, причинени от една основна причина, ще бъдат възнаградени само веднъж.
Моля, имайте предвид, че решенията за възнаграждение зависят от нашата собствена преценка . Проблемите могат да получат по-ниска степен на тежест поради компенсиращи контроли и контекст.
И накрая, моля, имайте предвид, че ще можем да изплатим награда (чрез PayPal или банков превод) само ако сте в състояние да ни издадете валидна фактура.

Награди и тежест:

• Критични – над 1000 USD
  Уязвимости, които водят до увеличаване на привилегиите на платформата от непривилегировани до администраторски, позволяват отдалечено изпълнение на код, финансова кражба, неоторизиран достъп до/извличане на чувствителни данни и др.
• Висока – 500 USD
  Уязвимости, които засягат сигурността на платформата, включително процесите, които тя поддържа.
• Среден – 100 USD
  Уязвимости, които засягат множество потребители и изискват малко или никакво взаимодействие с потребителя, за да се задействат
• Ниска стойност – 50 USD
  Проблеми, които засягат единични потребители и изискват взаимодействие или значителни предпоставки (MitM), за да се задействат. 

Свържете се с нас

Ако имате допълнителни въпроси или коментари относно нас или нашите политики, изпратете ни имейл на [email protected] или се свържете с нас по пощата на адрес:

Bouncer Sp. z o.o. (LTD)
ул. Cypriana Kamila Norwida 24/1
50-374 Вроцлав
Полша