Проучвания с добра воля никога не срещат адвокати.

Изследванията в областта на сигурността правят продукта по-безопасен и ние искаме докладът да достигне до нас, преди да достигне до злонамерен извършител. Ако спазвате тази политика, ние ще: потвърдим бързо получаването на доклада ви, ще работим с вас, за да го разберем и валидираме, ще ви информираме, докато го отстраним, ще ви отдадем заслуга, ако желаете, и няма да предприемаме или подкрепяме правни действия срещу вас във връзка с изследването. Последното обещание е същността на този документ и клауза 07 го формулира подробно.

Пишете на security@transglot.ai. Посочете какво сте открили, къде сте го открили, стъпките за възпроизвеждане, какво би могъл да направи с него злонамерен извършител и всичко, което ни помага да го потвърдим: заявка и отговор, кратко видео, доказателство за концепция. Кажете ни, ако искате да ви бъдат отдадени заслуги и под какво име. Пишете на английски, ако е възможно. Ако искате да шифровате доклада, поискайте това в първото съобщение и ние ще обменим ключ. Публикуваме и файл security.txt със същия адрес, така че автоматизираните скенери да сочат към пощенска кутия, която се чете от човек.

Потвърждаваме получаването на доклад в рамките на три работни дни. Правим първоначална оценка, включително дали можем да го възпроизведем и как сме го оценили, в рамките на десет работни дни. Съобщаваме ви кога се издава корекция и обикновено ще сме издали такава за високорисков или критичен проблем в рамките на деветдесет дни след валидирането му, а по-бързо, ако рискът е активен. Ако корекцията ще отнеме повече време, ще ви обясним защо, вместо да мълчим. Ще ви уведомим, преди да публикуваме каквато и да е информация относно проблема, и няма да публикуваме името ви без ваше съгласие.

Моля, предоставете ни деветдесет дни от първия ви доклад, преди да публикувате подробности, и по-дълъг срок по взаимно съгласие, ако корекцията е наистина сложна или изисква действие от страна на клиент. Няма да използваме този период, за да прикрием проблема: ще ви държим в течение и ако не можем да го отстраним, също ще ви уведомим; няма да възразяваме срещу публикация след изтичането на срока. Ако проблемът се експлоатира активно, уведомете ни незабавно и ще действаме със съответната скорост. Готови сме да координираме съвместно известие и да поискаме CVE номер, когато е уместно.

Производственото уеб приложение и маркетинговият сайт на наши собствени домейни, публичният REST API, крайната точка за доставка, контекстният редактор и неговите вградени повърхности, нашите публикувани клиентски пакети, доставката и подписването на уеб куки, потоците за автентикация и единично влизане (SSO) и нашата публична инфраструктура, доколкото е достъпна от интернет. Докладите относно дизайнерско решение, което сме документирали като преднамерен компромис, като например споделения пул за превод с точно съвпадение или липсата на криптиране на дисково ниво на активните томове, са добре дошли като аргументи, но не са уязвимости: те са посочени на страницата за сигурност именно за да не губи изследователят следобед, доказвайки нещо, което вече сме публикували.

Всичко, което не се управлява от нас, включително собствен уебсайт на клиент, интеграция с трета страна и всяка система, достъпна чрез конектор. Отказ за обслужване, тестове за обемен или ресурсен изтощение и всичко, което влошава услугата за други потребители. Социално инженерство, фишинг или физически опити срещу наши служители, офиси или доставчици. Спам и доклади, генерирани от автоматизиран скенер без прикачен анализ. Констатации, които представляват само липсващ заглавен елемент по добра практика, флаг на бисквитка без демонстрирано въздействие, остаряла библиотека без експлоатируем път, ограничение на честотата, което сте установили, като сте го надвишили, самоналожен междусайтов скрипт (XSS), доклад за кликджекинг на страница без чувствително действие или липса на широка политика за сигурност на съдържанието, която вече сме документирили като пропуск. Уязвимости, изискващи физически достъп до отключено устройство на жертвата или компрометиране на ниво root на собствената машина на жертвата.

Ако направите добросъвестен опит да спазвате тази политика по време на изследването си, ние ще считаме вашето изследване за разрешено, ще работим с вас, за да разберем и разрешим проблема бързо, и няма да препоръчваме или предприемаме правни действия срещу вас, включително съгласно законодателството за злоупотреба с компютри, антихакинг, заобикаляне на защити или договорно право, както и всякакви претенции съгласно Политиката за приемлива употреба или Условията за ползване, че тестването ви иначе би ги нарушило. Ако трета страна започне дело срещу вас за изследване, проведено съгласно тази политика, ние ще обявим, че дейностите ви са били разрешени. Това „сигурно пристанище“ се отнася само за нас: то не може и не ви упълномощава да действате срещу трета страна, друг клиент или системи на други лица.

Използвайте само входове и акаунти, които притежавате или за които имате изрично разрешение за тестване, и създайте свое собствено безплатно работно пространство, вместо да сондирате чуждо. Не достъпвайте, модифицирайте, копирайте, изнасяйте или унищожавайте данни, които не са ваши, и ако случайно срещнете данни на клиент, спрете, не ги запазвайте и ни уведомете незабавно какво сте видели, за да оценим експозицията. Не влошавайте наличността и не изпълнявайте тестове за натоварване, стрес или отказ за обслужване. Не използвайте констатация, за да получите повече достъп, отколкото е необходимо за демонстрирането ѝ, и не поддържайте постоянство. Не изнудвайте и не обуславяйте разкриването с плащане. Не публикувайте, преди клауза 04 да го позволява. Спазвайте приложимото законодателство и всички ограничения за експортен контрол или санкции, които се отнасят за вас.

В момента няма платена програма за бъг баунти. Това, което предлагаме, е бърз, човешки отговор, отдаване на заслуги в публично признание, ако желаете, писмена препоръка за сериозни констатации и горепосоченото „сигурно пристанище“. Ако стартираме платена програма, ще публикуваме обхвата и диапазоните на възнагражденията тук, преди да приемем първата заявка.

Няма да ви искаме да подписвате споразумение за неразкриване като условие за получаване на вашия доклад и няма да използваме формуляр за подаване на доклади като начин да ви задължим към мълчание. Няма да ви заплашваме за доклад, който се окаже с ниска тежест или дубликат. Няма да ви докладваме на вашия работодател, университет или платформа. Ако не сме съгласни с вашата оценка за тежестта, ще обясним защо, вместо да затворим дискусията.

Клиент, който открие уязвимост, докато използва продукта, е покрит от тази политика и от нейното безопасно пристанище, а докладването ѝ никога не е нарушение на Политиката за приемлива употреба. Докладвайте я на адреса за сигурност, а не чрез обикновената поддръжка, за да достигне до правилните хора, без да чака на опашка. Не тествайте с производствени данни, принадлежащи на вашите крайни потребители, ако можете да избегнете това.

Страницата за сигурност изброява нещата, които умишлено не сме изградили, за да ги научи ревизорът или изследователят от нас, а не при проверка: живите томове не са криптирани на диск, журналът за аудит е само за добавяне на ниво приложение и не носи верига от хешове или подпис, няма широка политика за сигурност на съдържанието и днес не притежаваме сертификация за сигурност от трета страна. Публикуването на собствените ни пропуски е най-евтината честност в бизнеса и спестява на всички по една седмица.

Докладите за сигурност и въпросите относно тази политика се изпращат до security@transglot.ai. Всичко, което не е проблем със сигурността, включително злоупотреби и авторски права, се изпраща до hello@transglot.ai. Въпросите за поверителност и защита на данните се изпращат до privacy@transglot.ai.