Έρευνα καλής πίστης δεν αντιμετωπίζεται ποτέ με δικηγόρους.

Η έρευνα ασφαλείας καθιστά το προϊόν πιο ασφαλές και θέλουμε η αναφορά να φτάσει σε εμάς πριν φτάσει σε έναν επιτιθέμενο. Εάν ακολουθήσετε αυτή την πολιτική, θα: αναγνωρίσουμε γρήγορα την αναφορά σας, συνεργαστούμε μαζί σας για να την κατανοήσουμε και να την επικυρώσουμε, σας ενημερώνουμε κατά τη διάρκεια της διόρθωσης, σας αποδώσουμε τα εύσημα εάν το επιθυμείτε και δεν θα προβούμε ή υποστηρίξουμε νομικές ενέργειες εναντίον σας για την έρευνα. Αυτή η τελευταία δέσμευση είναι ο σκοπός αυτού του εγγράφου και η ρήτρα 07 την διατυπώνει ρητά.

Email security@transglot.ai. Include what you found, where you found it, the steps to reproduce it, what an attacker could do with it, and anything that helps us confirm it: a request and response, a short video, a proof of concept. Tell us if you want to be credited and under what name. Write in English if you can. If you want to encrypt the report, ask in a first message and we will exchange a key. We also publish a security.txt file with the same address, so an automated scanner points at a mailbox a person reads.

Αναγνωρίζουμε μια αναφορά εντός τριών εργάσιμων ημερών. Παρέχουμε μια αρχική αξιολόγηση, συμπεριλαμβανομένου του αν μπορούμε να την αναπαράγουμε και πώς την έχουμε βαθμολογήσει, εντός δέκα εργάσιμων ημερών. Σας ενημερώνουμε όταν κυκλοφορεί μια διόρθωση και συνήθως θα έχουμε κυκλοφορήσει μία για ένα ζήτημα υψηλής ή κρίσιμης σοβαρότητας εντός ενενήντα ημερών από την επικύρωσή της, ταχύτερα εάν ο κίνδυνος είναι ενεργός. Εάν μια διόρθωση πρόκειται να καθυστερήσει περισσότερο, σας λέμε γιατί αντί να σωπάσουμε. Θα σας ενημερώσουμε πριν δημοσιεύσουμε οτιδήποτε σχετικά με το ζήτημα και δεν θα δημοσιεύσουμε το όνομά σας χωρίς άδεια.

Παρακαλούμε δώστε μας ενενήντα ημέρες από την πρώτη σας αναφορά πριν δημοσιεύσετε λεπτομέρειες και περισσότερες κατόπιν συμφωνίας εάν η διόρθωση είναι πραγματικά πολύπλοκη ή εάν απαιτεί ενέργεια από τον πελάτη. Δεν θα χρησιμοποιήσουμε αυτή την περίοδο για να θάψουμε το ζήτημα: θα σας κρατάμε ενημερωμένους και εάν δεν μπορούμε να το διορθώσουμε, θα σας το πούμε επίσης, και δεν θα αντιταχθούμε στη δημοσίευση μόλις λήξει η περίοδος. Εάν ένα ζήτημα εκμεταλλεύεται ενεργά, ενημερώστε μας αμέσως και θα κινηθούμε με αυτή την ταχύτητα. Είμαστε πρόθυμοι να συντονίσουμε μια κοινή ανακοίνωση και να ζητήσουμε CVE όπου είναι σκόπιμο.

Η εφαρμογή web παραγωγής και ο ιστότοπος marketing στα δικά μας domains, το δημόσιο REST API, το endpoint παράδοσης, ο επεξεργαστής in-context και οι επιφάνειες embed του, τα δημοσιευμένα πακέτα client, η παράδοση και υπογραφή webhook, οι ροές αυθεντικοποίησης και single sign-on μας και η δημόσια υποδομή μας καθώς είναι προσβάσιμη από το διαδίκτυο. Οι αναφορές σχετικά με μια σχεδιαστική απόφαση που έχουμε τεκμηριώσει ως σκόπιμη ανταλλαγή, όπως η κοινή δεξαμενή μετάφρασης ακριβούς αντιστοιχίας ή η απουσία κρυπτογράφησης σε επίπεδο δίσκου στους ζωντανούς τόμους, είναι ευπρόσδεκτες ως επιχειρήματα αλλά δεν αποτελούν ευπάθειες: αναφέρονται στη σελίδα ασφαλείας ακριβώς ώστε ο ερευνητής να μην χάσει ένα απόγευμα αποδεικνύοντας κάτι που ήδη δημοσιεύουμε.

Anything not operated by us, including a customer’s own website, a third party integration and any system reached through a connector. Denial of service, volumetric or resource exhaustion testing, and anything that degrades the service for other users. Social engineering, phishing, or physical attempts against our staff, our offices or our suppliers. Spam, and reports generated by an automated scanner with no analysis attached. Findings that are only a missing best-practice header, a cookie flag with no demonstrated impact, an outdated library with no exploitable path, a rate limit you found by exceeding it, a self-inflicted cross-site scripting, a clickjacking report on a page with no sensitive action, or the absence of a broad content security policy, which we already document as a gap. Vulnerabilities requiring physical access to a victim’s unlocked device, or requiring a root-level compromise of the victim’s own machine.

Εάν καταβάλετε καλόπιστη προσπάθεια συμμόρφωσης με αυτή την πολιτική κατά τη διάρκεια της έρευνάς σας, θα θεωρήσουμε την έρευνά σας εξουσιοδοτημένη, θα συνεργαστούμε μαζί σας για να κατανοήσουμε και να επιλύσουμε το ζήτημα γρήγορα και δεν θα συστήσουμε ή προβούμε σε νομικές ενέργειες εναντίον σας, συμπεριλαμβανομένων βάσει νόμων περί κατάχρησης υπολογιστών, anti-hacking, anti-circumvention ή συμβατικού δικαίου, καθώς και οποιασδήποτε αξίωσης βάσει της Πολιτικής Αποδεκτής Χρήσης ή των Όρων Υπηρεσίας ότι οι δοκιμές σας θα παραβίαζαν διαφορετικά. Εάν τρίτο μέρος ασκήσει αγωγή εναντίον σας για έρευνα που διεξήχθη βάσει αυτής της πολιτικής, θα γνωστοποιήσουμε ότι οι δραστηριότητές σας ήταν εξουσιοδοτημένες. Αυτός ο ασφαλής λιμένας περιορίζεται σε εμάς: δεν μπορεί και δεν σας εξουσιοδοτεί να ενεργήσετε εναντίον τρίτου μέρους, άλλου πελάτη ή των συστημάτων οποιουδήποτε άλλου.

Χρησιμοποιήστε μόνο συνδέσεις και Λογαριασμούς που σας ανήκουν ή έχετε ρητή άδεια να δοκιμάσετε και δημιουργήστε τον δικό σας δωρεάν χώρο εργασίας αντί να διερευνάτε κάποιον άλλο. Μην προσπελάσετε, τροποποιήσετε, αντιγράψετε, εξάγετε ή καταστρέψετε δεδομένα που δεν σας ανήκουν και εάν συναντήσετε δεδομένα πελατών κατά λάθος, σταματήστε, μην τα αποθηκεύσετε και ενημερώστε μας αμέσως τι είδατε ώστε να αξιολογήσουμε την έκθεση. Μην υποβαθμίσετε τη διαθεσιμότητα ή εκτελέσετε δοκιμές φόρτου, stress ή άρνησης υπηρεσίας. Μην χρησιμοποιήσετε ένα εύρημα για να αποκτήσετε περισσότερη πρόσβαση από όση χρειάζεστε για να το αποδείξετε και μην διατηρήσετε persistency. Μην εκβιάζετε και μην εξαρτάτε τη γνωστοποίηση από πληρωμή. Μην δημοσιεύετε πριν το επιτρέψει η ρήτρα 04. Συμμορφωθείτε με την ισχύουσα νομοθεσία και με οποιονδήποτε περιορισμό ελέγχου εξαγωγών ή κυρώσεων που ισχύει για εσάς.

Δεν υπάρχει πληρωόμενο bug bounty σήμερα. Αυτό που προσφέρουμε είναι μια γρήγορη, ανθρώπινη ανταπόκριση, αναφορά σε δημόσια αναγνώριση εάν το επιθυμείτε, μια γραπτή σύσταση για σοβαρά ευρήματα και τον παραπάνω ασφαλή λιμένα. Εάν ξεκινήσουμε ένα πληρωόμενο πρόγραμμα, θα δημοσιεύσουμε το πεδίο εφαρμογής και τα εύρη εδώ πριν λάβουμε την πρώτη υποβολή.

Δεν θα σας ζητήσουμε να υπογράψετε συμφωνία μη αποκάλυψης ως προϋπόθεση για την παραλαβή της αναφοράς σας και δεν θα χρησιμοποιήσουμε μια φόρμα υποβολής αναφοράς ως τρόπο να σας δεσμεύσουμε σε σιωπή. Δεν θα σας απειλήσουμε για μια αναφορά που αποδειχθεί χαμηλής σοβαρότητας ή διπλότυπη. Δεν θα σας αναφέρουμε στον εργοδότη σας, στο πανεπιστήμιό σας ή σε μια πλατφόρμα. Αν διαφωνούμε με την αξιολόγησή σας για τη σοβαρότητα, θα εξηγήσουμε γιατί αντί να κλείσουμε τη συζήτηση.

Ένας πελάτης που βρίσκει μια ευπάθεια ενώ χρησιμοποιεί το προϊόν καλύπτεται από αυτή την πολιτική και από την ασφάλειά της, και η αναφορά μιας τέτοιας ευπάθειας δεν αποτελεί ποτέ παραβίαση της Πολιτικής Αποδεκτής Χρήσης. Αναφέρετέ την στη διεύθυνση ασφαλείας αντί μέσω της συνηθισμένης υποστήριξης, ώστε να φτάσει στα σωστά άτομα χωρίς να καθυστερεί σε ουρά αναμονής. Μην κάνετε δοκιμές με δεδομένα παραγωγής που ανήκουν στους τελικούς χρήστες σας αν μπορείτε να το αποφύγετε.

Η σελίδα ασφαλείας αναφέρει τα πράγματα που δεν έχουμε υλοποιήσει, επίτηδες, ώστε ο ελεγκτής ή ο ερευνητής να τα μάθει από εμάς αντί μέσω επιμέλειας: οι ζωντανόί τόμοι δεν είναι κρυπτογραφημένοι σε επίπεδο δίσκου, το αρχείο καταγραφής ελέγχου είναι μόνο προσθήκης στο επίπεδο εφαρμογής και δεν φέρει αλυσίδα hash ή υπογραφή, δεν υπάρχει ευρεία πολιτική ασφάλειας περιεχομένου και σήμερα δεν κατέχουμε πιστοποίηση ασφαλείας τρίτου μέρους. Η δημοσίευση των δικών μας κενών είναι η πιο οικονομική μορφή ειλικρίνειας στον χώρο και εξοικονομεί σε όλους μία εβδομάδα.

Οι αναφορές ασφαλείας και οι ερωτήσεις σχετικά με αυτή την πολιτική αποστέλλονται στη διεύθυνση security@transglot.ai. Οτιδήποτε δεν αποτελεί ζήτημα ασφαλείας, συμπεριλαμβανομένων της κατάχρησης και των πνευματικών δικαιωμάτων, αποστέλλεται στη διεύθυνση hello@transglot.ai. Τα θέματα απορρήτου και προστασίας δεδομένων αποστέλλονται στη διεύθυνση privacy@transglot.ai.