Ta pravilnik o odgovornem razkritju je razširitev naših pogojev uporabe .

Bouncer Sp. z.o.o (LTD) (“mi”, “nas” ali “naše”) je zavezan zagotavljanju varnosti in zaščite svojih strank in zaposlenih.

Prizadevamo si spodbujati okolje zaupanja in odprtega partnerstva z varnostno skupnostjo ter se zavedamo pomembnosti razkritij ranljivosti in prijaviteljev pri nadaljnjem zagotavljanju varnosti in zaščite za vse naše stranke, zaposlene in podjetje.

To politiko smo razvili tako, da odraža naše korporativne vrednote in spoštuje našo pravno odgovornost do dobronamernih varnostnih raziskovalcev, ki nam zagotavljajo svoje strokovno znanje, in prijaviteljev, ki naši infrastrukturi dodajajo dodatno raven varnosti.

Kako oddati ranljivost

Če želite ekipi za varnost izdelkov družbe Bouncer poslati poročilo o ranljivosti, uporabite naslednje e-poštno sporočilo [email protected].

Prednostna, prednostna in sprejemljiva merila

Pri razvrščanju in obravnavi vlog bomo uporabili naslednja merila.

Kaj bi radi videli od vas:

• Dobro napisana poročila v angleščini bodo imela večjo verjetnost rešitve.
• Poročila, ki vključujejo kodo za preverjanje koncepta, nam omogočajo boljšo triažo.
• Poročila, ki vključujejo samo izpise sesutja ali izpise drugih samodejnih orodij, imajo lahko nižjo prednost.
• Poročila, ki vključujejo izdelke, ki niso na začetnem seznamu, imajo lahko nižjo prednost.
• Navedite, kako ste odkrili napako, kakšen je njen vpliv in morebitno sanacijo.
• Navedite morebitne načrte ali namere za javno razkritje.
• Ne pozabite tudi, da je označevanje vseh poročil kot [kritično nujno] ne glede na vpliv neprofesionalno in zaradi tega vaša poročila obravnavamo manj resno.

Kaj lahko pričakujete od storitve Bouncer:

• pravočasen odgovor na vaše e-poštno sporočilo (v 5 delovnih dneh).
• Po triaži bomo poslali pričakovani časovni okvir in se zavezali, da bomo čim bolj pregledni glede časovnega okvira sanacije ter vprašanj ali izzivov, ki ga lahko podaljšajo.
• Odprt dialog za razpravo o vprašanjih.
• Obvestilo o zaključku vsake faze pregleda analize ranljivosti.
• Dobropis po potrditvi in odpravi ranljivosti.

Če ne moremo rešiti težav s komunikacijo ali drugih težav, lahko družba Bouncer povabi nevtralno tretjo osebo, ki pomaga pri določanju najboljšega načina reševanja ranljivosti.

Katera vprašanja se štejejo za zunaj področja uporabe :

• Varnostne prakse, pri katerih obstajajo druge blažilne kontrole, npr. manjkajoče varnostne glave itd.
• Socialni inženiring, ribarjenje
• Fizični napadi
• Prevzem poddomene
• Vdiranje na klik
• Self XSS
• Podtikanje e-pošte – napačne konfiguracije preverjanja pristnosti e-pošte
• Manjkajoče oznake za piškotke
• CSRF z minimalnim učinkom, npr. prijava CSRF, odjava CSRF itd.
• Podtikanje vsebine
• Sledi sklada, razkritje poti, imeniki
• Nadzor SSL/TLS, kadar obstajajo drugi blažilni nadzori
• Zgrabitev transparenta
• Vbrizgavanje CSV
• Odsevna datoteka Prenos
• Poročila o zastarelih brskalnikih
• Poročila o zastarelih različicah/gradnjah mobilnih aplikacij, ki so vključene v področje uporabe.
• DOS/DDOS
• Vbrizgavanje glave gostitelja brez dokazljivega učinka
• Izhodi optičnega bralnika
• Ranljivosti v izdelkih tretjih oseb
• Izštevanje uporabnikov
• Zahtevnost gesla
• Metoda sledenja HTTP

Nagrade

Naše nagrade temeljijo na resnosti ranljivosti.
Z veseljem vam bomo izplačali nadomestilo za vaš prispevek, če boste objavili poročilo o ranljivosti, za katero še nismo vedeli. Tudi več ranljivosti, ki jih je povzročil en temeljni vzrok, bomo nagradili samo enkrat.
Upoštevajte, da so odločitve o nagrajevanju odvisne od naše lastne presoje . Težave so lahko zaradi kompenzacijskih kontrol in konteksta ocenjene z nižjo stopnjo resnosti.
Nazadnje upoštevajte, da bomo lahko nagrado izplačali (prek sistema PayPal ali bančnega nakazila) le, če nam boste lahko izdali veljaven račun.

Nagrade in resnost:

• Kritično – več kot 1000 USD
  Ranljivosti, ki povzročijo povečanje privilegijev na platformi z neprivilegiranega na administratorja, omogočajo oddaljeno izvajanje kode, krajo finančnih sredstev, nepooblaščen dostop do/izvleček občutljivih podatkov itd.
• Visoka – 500 dolarjev
  Ranljivosti, ki vplivajo na varnost platforme, vključno s postopki, ki jih podpira.
• Srednja – 100 USD
  Ranljivosti, ki vplivajo na več uporabnikov in za sprožitev ne zahtevajo interakcije z uporabnikom ali le malo.
• Nizka – 50 dolarjev
  Težave, ki vplivajo na posamezne uporabnike in zahtevajo interakcijo ali pomembne predpogoje (MitM), da se sprožijo. 

Pišite nam

Če imate dodatna vprašanja ali pripombe o nas ali naših pravilih, nam pišite na [email protected] ali se z nami obrnite po pošti na:

Bouncer Sp. z o.o. (LTD)
ul. Cypriana Kamila Norwida 24/1
50-374 Wrocław
Poljska