Політика скоординованого розкриття вразливостей
Як ми опрацьовуємо повідомлення про вразливості та їх розкриття
Мета
BudgetBakers вітає відповідальне повідомлення про вразливості безпеки у своїх продуктах.
Мета цієї політики — дати дослідникам безпеки, користувачам та іншим особам змогу безпечно повідомляти про потенційні вразливості, щоб їх можна було дослідити й усунути до оприлюднення технічних деталей.
Сфера застосування
Ця політика поширюється на потенційні вразливості безпеки в продуктах BudgetBakers. Вона також охоплює вразливості в сторонніх компонентах, якщо:
- Компонент інтегровано в продукт BudgetBakers, або
- Його вразливість впливає на безпеку продукту BudgetBakers
Вона не поширюється на окремі сторонні продукти, які не є частиною продукту BudgetBakers і не впливають на його безпеку.
Правила дослідження безпеки
BudgetBakers просить дослідників:
- Діяти добросовісно та з метою підвищення безпеки
- За можливості тестувати лише власні облікові записи та власні дані
- Мінімізувати доступ до даних інших користувачів
- Не копіювати та не зберігати персональні чи фінансові дані, якщо це не потрібно для демонстрації вразливості
- Припинити подальше тестування в цьому напрямку, якщо випадково отримано доступ до даних іншого користувача
- Не порушувати доступність сервісу
- Не проводити DoS/DDoS-тестування
- Не застосовувати соціальну інженерію проти працівників чи користувачів
- Не здійснювати фізичних атак
- Не проводити деструктивного тестування
- Не використовувати отриманий доступ для жодних цілей, крім перевірки вразливості
Що відбувається після повідомлення
Отримавши повідомлення, BudgetBakers:
- 1Зареєструє повідомлення
- 2Проведе первинну оцінку серйозності
- 3За потреби запитає у дослідника додаткову інформацію
- 4Перевірить відтворюваність і вплив вразливості
- 5Визначить, як її усунути або пом'якшити
- 6Скоординує можливе публічне розкриття
- 7Повідомить дослідника про результат, якщо це доречно
Скоординоване розкриття
Ми просимо дослідників не публікувати технічні деталі вразливості, доки користувачам не стане доступним виправлення або належне пом'якшення, або до іншої дати, погодженої з BudgetBakers.
BudgetBakers докладатиме зусиль, щоб координувати розкриття з дослідником розумно та прозоро.
Bug bounty
Наразі BudgetBakers не проводить публічної програми bug bounty. Повідомлення про вразливість саме по собі не дає права на фінансову чи іншу винагороду.
У виняткових випадках BudgetBakers може на власний розсуд запропонувати винагороду за особливо значущу або добре задокументовану знахідку.
Відповідальне дослідження / safe harbour
BudgetBakers не має наміру вживати юридичних заходів лише через дослідження безпеки, проведене добросовісно та відповідно до цієї політики.
Це не стосується дій, спрямованих на заподіяння шкоди компанії, її користувачам чи третім особам, а також дій, які явно виходять за межі необхідного для перевірки вразливості.
Знайшли вразливість?
Повідомте про неї через нашу контактну точку з безпеки.