Tieto Zásady zodpovedného zverejňovania informácií sú rozšírením našich podmienok používania .

Spoločnosť Bouncer Sp. z.o.o (LTD) (ďalej len „my“, „nás“ alebo „naša“) sa zaväzuje zabezpečiť bezpečnosť svojich zákazníkov a zamestnancov.

Naším cieľom je podporovať prostredie dôvery a otvoreného partnerstva s bezpečnostnou komunitou a uvedomujeme si dôležitosť odhalenia zraniteľností a oznamovateľov pri ďalšom zabezpečovaní bezpečnosti a ochrany všetkých našich zákazníkov, zamestnancov a spoločnosti.

Tieto zásady sme vypracovali tak, aby odrážali naše firemné hodnoty a zároveň aby sme dodržali našu právnu zodpovednosť voči výskumníkom v oblasti bezpečnosti, ktorí nám v dobrej viere poskytujú svoje odborné znalosti, a voči informátorom, ktorí našej infraštruktúre dodávajú ďalšiu vrstvu bezpečnosti.

Ako odoslať zraniteľnosť

Ak chcete poslať hlásenie o zraniteľnosti tímu zabezpečenia produktov spoločnosti Bouncer, použite nasledujúci e-mail [email protected].

Preferencie, prioritizácia a kritériá akceptácie

Pri určovaní priorít a triedení predložených návrhov budeme používať tieto kritériá.

Čo by sme od vás chceli vidieť:

• Dobre napísané správy v angličtine budú mať vyššiu pravdepodobnosť riešenia.
• Správy, ktoré obsahujú overovací kód, nám umožňujú lepšie triedenie.
• Správy, ktoré obsahujú iba výpisy havarovaných systémov alebo iné výstupy automatizovaných nástrojov, môžu mať nižšiu prioritu.
• Správy, ktoré obsahujú produkty, ktoré nie sú uvedené v pôvodnom zozname rozsahu, môžu mať nižšiu prioritu.
• Uveďte, ako ste chybu zistili, aký má vplyv a akúkoľvek potenciálnu nápravu.
• Uveďte všetky plány alebo zámery týkajúce sa zverejnenia.
• Majte tiež na pamäti, že označovanie všetkých hlásení ako [kriticky naliehavé] bez ohľadu na ich vplyv je neprofesionálne a spôsobuje, že vaše hlásenia berieme menej vážne.

Čo môžete od Bounceru očakávať:

• Včasná odpoveď na váš e-mail (do 5 pracovných dní).
• Po triedení zašleme očakávaný časový harmonogram a zaviažeme sa, že budeme čo najtransparentnejší, pokiaľ ide o časový harmonogram nápravy, ako aj o problémy alebo výzvy, ktoré ho môžu predĺžiť.
• Otvorený dialóg na diskusiu o problémoch.
• Oznámenie o ukončení jednotlivých fáz analýzy zraniteľnosti.
• Kredit po overení a odstránení zraniteľnosti.

Ak sa nám nepodarí vyriešiť problémy s komunikáciou alebo iné problémy, spoločnosť Bouncer môže prizvať neutrálnu tretiu stranu, ktorá pomôže určiť, ako najlepšie riešiť zraniteľnosť.

Ktoré otázky sa považujú za vyňaté z rozsahu pôsobnosti :

• Bezpečnostné postupy, pri ktorých existujú iné zmierňujúce kontroly, napr. chýbajúce bezpečnostné hlavičky atď.
• Sociálne inžinierstvo, Phishing
• Fyzické útoky
• Prevzatie subdomény
• Clickjacking
• Self XSS
• Podvrhnutie e-mailu – nesprávna konfigurácia overovania e-mailu
• Chýbajúce príznaky súborov cookie
• CSRF s minimálnym dopadom, t. j. prihlasovanie CSRF, odhlásenie CSRF atď.
• Podvrhnutie obsahu
• Stopy zásobníka, zverejnenie cesty, výpisy adresárov
• Kontroly SSL/TLS v prípadoch, keď existujú iné zmierňujúce kontroly
• Banner Grabbing
• Vstreknutie CSV
• Odrazený súbor na stiahnutie
• Správy o zastaraných prehliadačoch
• Správy o zastaraných verziách/budovách mobilných aplikácií v rozsahu pôsobnosti
• DOS/DDOS
• Vstreknutie hlavičky hostiteľa bez preukázateľného vplyvu
• Výstupy skenera
• Zraniteľnosti v produktoch tretích strán
• Výpočet používateľov
• Zložitosť hesla
• Metóda sledovania HTTP

Odmeny

Naše odmeny sú založené na závažnosti zraniteľnosti.
Veľmi radi vás odmeníme za váš príspevok, keď vydáte správu o zraniteľnosti, o ktorej sme ešte nevedeli. Taktiež viacero zraniteľností spôsobených jednou hlavnou príčinou bude odmenených len raz.
Upozorňujeme, že rozhodnutie o odmene závisí od nášho vlastného uváženia . Problémy môžu dostať nižšiu závažnosť z dôvodu kompenzačných kontrol a kontextu.
A nakoniec majte na pamäti, že odmenu budeme môcť vyplatiť (prostredníctvom služby PayPal alebo bankovým prevodom) len vtedy, ak nám budete môcť vystaviť platnú faktúru.

Odmeny a závažnosť:

• Kritické – viac ako 1000 USD
  Zraniteľnosti, ktoré spôsobujú zvýšenie oprávnení na platforme z neprivilegovaného na administrátora, umožňujú vzdialené spustenie kódu, krádež financií, neoprávnený prístup k citlivým údajom alebo ich získanie atď.
• Vysoká – 500 USD
  Zraniteľnosti, ktoré ovplyvňujú bezpečnosť platformy vrátane procesov, ktoré podporuje.
• Stredná – 100 USD
  Zraniteľnosti, ktoré majú vplyv na viacerých používateľov a na spustenie ktorých je potrebná len malá alebo žiadna interakcia používateľa
• Nízka – 50 USD
  Problémy, ktoré majú vplyv na jednotlivých používateľov a vyžadujú interakciu alebo významné predpoklady (MitM) na spustenie. 

Kontaktujte nás

Ak máte akékoľvek ďalšie otázky alebo pripomienky týkajúce sa nás alebo našich zásad, pošlite nám e-mail na adresu [email protected] alebo nás kontaktujte poštou na adrese:

Bouncer Sp. z o.o. (LTD)
ul. Cypriana Kamila Norwida 24/1
50-374 Vroclav
Poľsko