Ujawnianie luk w zabezpieczeniach

Polityka ujawniania luk w zabezpieczeniach

Poważnie traktujemy bezpieczeństwo naszej publicznej strony internetowej i systemów. Jeśli znaleźli Państwo problem bezpieczeństwa, dziękujemy za odpowiedzialne zgłoszenie.

Zakres

Niniejsza polityka obejmuje publiczną stronę cryptorecovers.com i jej bezpośrednio powiązaną infrastrukturę. Badania są mile widziane w granicach opisanych poniżej. Wszystko poza tym zakresem – w tym systemy naszych klientów, partnerów lub dostawców hostingu – nie jest objęte tą polityką.

Dozwolone badania

Mogą Państwo testować publiczną stronę pod kątem luk, stosując rozsądne, nieniszczące techniki: sprawdzanie typowych błędów konfiguracji, testowanie obsługi danych wejściowych i przegląd publicznie udostępnianych plików. Nie wolno uzyskiwać dostępu, próbować uzyskać dostępu ani modyfikować systemów, kont, baz danych, materiałów portfela ani danych osobowych innych niż Państwa własne dane testowe.

Jak zgłosić

Prosimy wysłać raport na adres security@cryptorecovers.com. W miarę możliwości prosimy zaszyfrować go naszym publicznym kluczem PGP (patrz strona PGP); odcisk palca klucza jest tam opublikowany. Prosimy nie publikować luki publicznie, zanim nie otrzymamy rozsądnej szansy na reakcję i naprawę.

Co powinien zawierać raport

Jasny opis problemu i miejsca jego wystąpienia; kroki do odtworzenia, wystarczająco szczegółowe, abyśmy mogli je zweryfikować; potencjalny wpływ, który Państwo zidentyfikowali; Państwa dane kontaktowe (opcjonalne, ale pomocne); oraz potwierdzenie, że korzystali Państwo wyłącznie z własnych danych testowych.

Nasze zobowiązania

Potwierdzimy otrzymanie raportu w ciągu pięciu dni roboczych, będziemy informować Państwa o postępach i współpracować przy weryfikacji oraz naprawie problemu. Nie będziemy podejmować kroków prawnych wobec badaczy, którzy zgłaszają w dobrej wierze i przestrzegają tej polityki.

Zabronione testy

Niedozwolone są: ataki typu denial-of-service, inżynieria społeczna, próby fizycznego dostępu, wykorzystywanie luk w zakresie szerszym niż konieczny do potwierdzenia, dostęp do systemów stron trzecich oraz testy obejmujące materiały portfeli, dane osobowe lub konta klientów. Prosimy pozostać w zakresie i korzystać wyłącznie z własnych danych testowych.