Kebijakan PengungkapanInformasi yang Bertanggung Jawab ini merupakan perpanjangan dariKetentuan Layanan .

Bouncer Sp. z.o.o (LTD) (“kami”, “kita”, atau “milik kami”) berkomitmen untuk memastikan keselamatan dan keamanan pelanggan dan karyawan kami.

Kami bertujuan untuk membina lingkungan yang penuh kepercayaan, dan kemitraan terbuka dengan komunitas keamanan, dan kami menyadari pentingnya pengungkapan kerentanan dan pelapor untuk terus memastikan keselamatan dan keamanan bagi semua pelanggan, karyawan, dan perusahaan kami.

Kami telah mengembangkan kebijakan ini untuk mencerminkan nilai-nilai perusahaan kami dan untuk menegakkan tanggung jawab hukum kami terhadap para peneliti keamanan yang beritikad baik yang memberikan keahlian mereka kepada kami dan para pelapor yang menambahkan lapisan keamanan ekstra pada infrastruktur kami.

Cara Mengirimkan Kerentanan

Untuk mengirimkan laporan kerentanan kepada Tim Keamanan Produk Bouncer, silakan gunakan email berikut [email protected].

Kriteria Preferensi, Prioritas, dan Penerimaan

Kami akan menggunakan kriteria berikut untuk memprioritaskan dan melakukan triase terhadap kiriman.

Apa yang ingin kami lihat dari Anda:

• Laporan yang ditulis dengan baik dalam bahasa Inggris akan memiliki kemungkinan resolusi yang lebih tinggi.
• Laporan yang menyertakan kode bukti konsep membekali kami untuk melakukan triase yang lebih baik.
• Laporan yang hanya menyertakan crash dump atau keluaran alat otomatis lainnya dapat menerima prioritas yang lebih rendah.
• Laporan yang menyertakan produk yang tidak termasuk dalam daftar cakupan awal dapat menerima prioritas yang lebih rendah.
• Mohon sertakan cara Anda menemukan bug, dampaknya, dan potensi perbaikannya.
• Mohon sertakan rencana atau niat untuk pengungkapan publik.
• Selain itu, harap diingat bahwa menandai semua laporan sebagai [Mendesak Kritis] terlepas dari dampaknya merupakan tindakan yang tidak profesional dan membuat kami memperlakukan laporan Anda dengan kurang serius.

Apa yang dapat Anda harapkan dari Bouncer:

• Tanggapan tepat waktu ke email Anda (dalam 5 hari kerja).
• Setelah triase, kami akan mengirimkan jadwal yang diharapkan, dan berkomitmen untuk setransparan mungkin tentang jadwal remediasi serta masalah atau tantangan yang mungkin memperpanjangnya.
• Dialog terbuka untuk mendiskusikan berbagai masalah.
• Pemberitahuan ketika analisis kerentanan telah menyelesaikan setiap tahap tinjauan kami.
• Kredit setelah kerentanan divalidasi dan diperbaiki.

Jika kami tidak dapat menyelesaikan masalah komunikasi atau masalah lainnya, Bouncer dapat membawa pihak ketiga yang netral untuk membantu menentukan cara terbaik menangani kerentanan.

Masalah mana yang dianggap di luar cakupan :

• Praktik Keamanan di mana terdapat kontrol mitigasi lainnya, misalnya header keamanan yang hilang, dll.
• Rekayasa Sosial, Phishing
• Serangan Fisik
• Pengambilalihan Subdomain
• Pembajakan klik
• Diri XSS
• Spoofing Email – Kesalahan Otentikasi Email
• Bendera Kue yang Hilang
• CSRF dengan dampak minimal, misalnya Login CSRF, Logout CSRF, dll.
• Pemalsuan Konten
• Jejak Tumpukan, Pengungkapan Jalur, Daftar Direktori
• Kontrol SSL/TLS di mana terdapat kontrol mitigasi lainnya
• Pengambilan Spanduk
• Injeksi CSV
• Unduhan File yang Dipantulkan
• Laporan tentang browser yang sudah kedaluwarsa
• Laporan tentang versi/bangun yang kedaluwarsa dari Aplikasi Seluler dalam cakupan
• DOS/DDOS
• Injeksi header host tanpa dampak yang dapat dibuktikan
• Keluaran Pemindai
• Kerentanan pada Produk Pihak Ketiga
• Pencacahan Pengguna
• Kompleksitas Kata Sandi
• Metode Pelacakan HTTP

Penghargaan

Imbalan kami didasarkan pada tingkat keparahan kerentanan.
Kami akan dengan senang hati memberikan kompensasi atas kontribusi Anda ketika Anda mengeluarkan laporan tentang kerentanan yang belum kami ketahui. Selain itu, beberapa kerentanan yang disebabkan oleh satu akar masalah hanya akan diberi imbalan satu kali.
Harap diperhatikan bahwa keputusan pemberian hadiah tergantung pada kebijaksanaan kami sendiri. Masalah dapat menerima tingkat keparahan yang lebih rendah karena adanya kompensasi kontrol dan konteks.
Terakhir, harap diingat bahwa kami akan dapat membayar hadiah (melalui PayPal atau transfer bank) hanya jika Anda dapat memberikan faktur yang valid kepada kami.

Imbalan dan Tingkat Keparahan:

• Kritis – $1000+
  Kerentanan yang menyebabkan eskalasi hak istimewa pada platform dari yang tidak memiliki hak istimewa menjadi admin, memungkinkan eksekusi kode jarak jauh, pencurian keuangan, akses tidak sah ke/ekstraksi data sensitif, dll.
• Tinggi – $500
  Kerentanan yang memengaruhi keamanan platform, termasuk proses yang didukungnya.
• Sedang – $ 100
  Kerentanan yang memengaruhi banyak pengguna, dan hanya membutuhkan sedikit atau tanpa interaksi pengguna untuk memicu
• Rendah – $50
  Masalah yang memengaruhi pengguna tunggal dan membutuhkan interaksi atau prasyarat signifikan (MitM) untuk memicu. 

Hubungi kami

Jika Anda memiliki pertanyaan atau komentar lebih lanjut mengenai kami atau kebijakan kami, kirimkan email kepada kami di [email protected] atau hubungi kami melalui pos di:

Bouncer Sp. z o.o. (LTD)
ul. Cypriana Kamila Norwida 24/1
50-374 Wrocław
Polandia