Výzkum v dobré víře nikdy neskončí u právníků.

Bezpečnostní výzkum činí produkt bezpečnějším a chceme, aby se nám hlášení dostalo dříve než útočníkovi. Pokud budete dodržovat tuto politiku: rychle potvrdíme přijetí vašeho hlášení, budeme s vámi spolupracovat na pochopení a ověření problému, budeme vás informovat o průběhu oprav, uvedeme vás jako autora, pokud si to přejete, a nebudeme proti vám podnikat ani podporovat právní kroky za tento výzkum. Tento poslední závazek je podstatou tohoto dokumentu a bod 07 jej vyjadřuje explicitně.

Pošlete e-mail na security@transglot.ai. Uveďte, co jste našli, kde jste to našli, kroky k reprodukci, co by s tím mohl útočník udělat, a vše, co nám pomůže problém potvrdit: požadavek a odpověď, krátké video, důkaz koncepce. Sdělte nám, zda chcete být uvedeni jako autor a pod jakým jménem. Pište anglicky, pokud je to možné. Pokud chcete hlášení zašifrovat, požádejte v první zprávě a vyměníme si klíč. Publikujeme také soubor security.txt se stejnou adresou, takže automatizovaný skener nasměruje na schránku, kterou čte člověk.

Hlášení potvrdíme do tří pracovních dnů. Do deseti pracovních dnů poskytneme počáteční posouzení, včetně toho, zda jej dokážeme reprodukovat a jak jsme jej ohodnotili. Informujeme vás, kdy bude oprava vydána, a obvykle ji vydáme pro vysoké nebo kritické problémy do devadesáti dnů od jejich ověření, rychleji, pokud je riziko aktivní. Pokud bude oprava trvat déle, sdělíme vám proč, místo abychom mlčeli. Před zveřejněním jakýchkoli informací o problému vás budeme informovat a vaše jméno nezveřejníme bez vašeho souhlasu.

Prosíme, dejte nám devadesát dní od prvního hlášení před zveřejněním podrobností a delší dobu po dohodě, pokud je oprava skutečně složitá nebo vyžaduje akci ze strany zákazníka. Toto období nevyužijeme k utajení problému: budeme vás pravidelně informovat a pokud jej nedokážeme opravit, také vám to sdělíme. Po uplynutí této lhůty nebudeme namítat proti zveřejnění. Pokud je problém aktivně zneužíván, okamžitě nás informujte a my budeme jednat odpovídající rychlostí. Radi koordinujeme společné upozornění a požádáme o CVE, kde je to vhodné.

Produkční webová aplikace a marketingový web na našich doménách, veřejné REST API, doručovací endpoint, kontextový editor a jeho vkládací povrchy, naše publikované klientské balíčky, doručování webhooků a jejich podepisování, naše autentizační a single sign-on toky a naše veřejná infrastruktura, jak je dosažitelná z internetu. Hlášení týkající se designových rozhodnutí, která jsme zdokumentovali jako záměrný kompromis, jako je sdílená paměť překladů s přesnou shodou nebo absence šifrování na úrovni disku u živých svazků, jsou vítána jako argumenty, ale nejsou zranitelnostmi: jsou uvedena na stránce o zabezpečení právě proto, aby výzkumník neztrácel odpoledne dokazováním něčeho, co již publikujeme.

Cokoli, co neprovozujeme my, včetně webu zákazníka, integrace třetí strany a jakéhokoli systému dosaženého prostřednictvím konektoru. Odmítnutí služby, testování vyčerpání objemu nebo zdrojů a cokoli, co degraduje službu pro jiné uživatele. Sociální inženýrství, phishing nebo fyzické pokusy proti našim zaměstnancům, kancelářím nebo dodavatelům. Spam a hlášení generovaná automatizovaným skenerem bez přiložené analýzy. Zjištění, která jsou pouze chybějící hlavičkou osvědčené praxe, příznak cookie bez prokázaného dopadu, zastaralá knihovna bez exploitační cesty, limit rychlosti, který jste našli jeho překročením, samovolný cross-site scripting, hlášení clickjackingu na stránce bez citlivé akce nebo absence široké politiky zabezpečení obsahu, kterou již dokumentujeme jako mezeru. Zranitelnosti vyžadující fyzický přístup k odemčenému zařízení oběti nebo vyžadující root-level kompromitaci stroje oběti.

Pokud se během svého výzkumu snažíte dodržovat tuto politiku v dobré víře, budeme váš výzkum považovat za autorizovaný, budeme s vámi spolupracovat na rychlém pochopení a vyřešení problému a nebudeme doporučovat ani podnikat proti vám právní kroky, včetně těch podle zákonů o zneužívání počítačů, proti hackingu, proti obcházení ochran nebo smluvního práva, včetně jakéhokoli nároku podle Podmínek přijatelného používání nebo Podmínek služby, který by vaše testování jinak porušovalo. Pokud proti vám třetí strana vznesen žalobu za výzkum provedený podle této politiky, dáme najevo, že vaše činnosti byly autorizovány. Tento bezpečný přístav je omezen na nás: nemůže a neautorizuje vás k jednání proti třetí straně, jinému zákazníkovi nebo systémům kohokoli jiného.

Use only logins and Accounts you own or have explicit permission to test, and create your own free workspace rather than probing somebody else’s. Do not access, modify, copy, exfiltrate or destroy data that is not yours, and if you encounter customer data by accident, stop, do not save it, and tell us immediately what you saw so we can assess exposure. Do not degrade availability or run load, stress or denial of service tests. Do not use a finding to gain more access than you need to demonstrate it, and do not maintain persistence. Do not extort, and do not condition disclosure on a payment. Do not publish before clause 04 allows. Comply with applicable law and with any export control or sanctions restriction that applies to you.

V současné době nemáme placený bug bounty program. To, co nabízíme, je rychlá, lidská odezva, uvedení ve veřejném uznání, pokud si to přejete, písemná reference za vážná zjištění a výše uvedený bezpečný přístav. Pokud spustíme placený program, zveřejníme zde jeho rozsah a rozpětí odměn před přijetím prvního hlášení.

Nebudeme po vás požadovat podpis dohody o mlčenlivosti jako podmínku pro přijetí vaší zprávy a nebudeme používat formulář pro odeslání zprávy jako způsob, jak vás zavázat k mlčení. Nebudeme vám vyhrožovat za zprávu, která se ukáže jako nízké závažnosti nebo duplicitní. Nenahlásíme vás vašemu zaměstnavateli, univerzitě ani platformě. Pokud nesouhlasíme s vaším hodnocením závažnosti, vysvětlíme proč, místo abychom vlákno uzavřeli.

Zákazník, který při používání produktu najde zranitelnost, je chráněn touto politikou a jejími ustanoveními o bezpečném přístavu. Nahlášení zranitelnosti není nikdy porušením Podmínek přijatelného používání. Nahlaste ji na adresu pro bezpečnostní záležitosti, nikoli prostřednictvím běžné podpory, aby se dostala ke správným lidem bez čekání ve frontě. Pokud je to možné, netestujte na produkčních datech svých koncových uživatelů.

Na stránce o zabezpečení uvádíme věci, které jsme záměrně nevybudovali, aby se o nich recenzent nebo výzkumník dozvěděl od nás, nikoli až během due diligence: živé svazky nejsou šifrovány na úrovni disku, auditní log je na aplikační vrstvě pouze pro přidávání záznamů a neobsahuje řetězec hashů ani podpis, nemáme širokou politiku zabezpečení obsahu a v současné době nevlastníme žádný certifikát bezpečnosti třetí strany. Zveřejňování našich vlastních nedostatků je nejlevnější formou upřímnosti v oboru a ušetří všem týden práce.

Bezpečnostní hlášení a dotazy týkající se této zásady směřujte na security@transglot.ai. Všechno, co není bezpečnostním problémem, včetně zneužívání a autorských práv, směřuje na hello@transglot.ai. Ochrana soukromí a údajů směřuje na privacy@transglot.ai.