Hyväntahtoinen tutkimus ei koskaan kohtaa lakimiehiä.

Tietoturvatutkimus tekee tuotteesta turvallisemman, ja haluamme, että raportti saapuu meille ennen kuin se saapuu hyökkääjälle. Jos noudatat tätä käytäntöä, me: kuittaamme raporttisi nopeasti, työskentelemme kanssasi sen ymmärtämiseksi ja validoinniksi, pidämme sinut ajan tasalla korjauksen edetessä, mainitsemme sinut, jos haluat tulla mainituksi, emmekä ryhdy tai tue oikeudellisia toimia sinua vastaan tutkimuksen vuoksi. Viimeisin sitoumus on tämän dokumentin ydin, ja kohta 07 ilmaisee sen termein.

Lähetä sähköpostia osoitteeseen security@transglot.ai. Sisällytä mitä löysit, mistä löysit sen, toistamisvaiheet, mitä hyökkääjä voisi tehdä sillä, ja kaikki, mikä auttaa meitä vahvistamaan sen: pyyntö ja vastaus, lyhyt video, proof of concept. Kerro, haluatko tulla mainituksi ja millä nimellä. Kirjoita englanniksi, jos mahdollista. Jos haluat salata raportin, pyydä sitä ensimmäisessä viestissä, ja vaihdamme avaimen. Julkaisemme myös security.txt-tiedoston samalla osoitteella, jotta automatisoidut skannerit ohjaavat postilaatikkoon, jota ihminen lukee.

Kuittaamme raportin kolmen arkipäivän kuluessa. Annamme alustavan arvion, mukaan lukien sen, voimmeko toistaa sen ja miten olemme arvioineet sen, kymmenen arkipäivän kuluessa. Kerromme, kun korjaus julkaistaan, ja yleensä julkaisemme korjauksen korkean tai kriittisen tason ongelmille yhdeksänkymmenen päivän kuluessa sen validoinnista, nopeammin, jos riski on aktiivinen. Jos korjaus vie kauemmin, kerromme syyn emmekä jää hiljaiseksi. Kerromme sinulle ennen kuin julkaisemme mitään ongelmasta, emmekä julkaise nimeäsi ilman lupaa.

Anna meille yhdeksänkymmentä päivää ensimmäisestä raportistasi ennen yksityiskohtien julkaisemista, ja pidempi aika sopimuksen mukaan, jos korjaus on aidosti monimutkainen tai vaatii asiakkaan toimia. Emme käytä tätä aikaa ongelman hautaamiseen: pidämme sinut ajan tasalla, ja jos emme voi korjata sitä, kerromme senkin, emmekä vastusta julkaisemista ajan kuluttua umpeen. Jos ongelmaa hyödynnetään aktiivisesti, kerro meille välittömästi, ja toimimme sillä vauhdilla. Olemme mielellämme koordinoidussa yhteisessä tiedotteessa ja pyydämme CVE:tä, jos se on aiheellista.

Tuotannon verkkosovellus ja markkinointisivusto omilla domaineillamme, julkinen REST API, jakelupäätepiste, kontekstuaalinen editori ja sen upotuspinnat, julkaisemamme asiakaspaketit, webhookien toimitus ja allekirjoitus, autentikointi- ja kertakirjautumisvirrat sekä julkinen infrastruktuurimme sellaisena kuin se on saavutettavissa internetistä. Raportit suunnittelupäätöksistä, jotka olemme dokumentoineet tietoiseksi kompromissiksi, kuten jaettu tarkka vastaavuus käännösmuistipooli tai levytason salauksen puuttuminen live-volumeista, ovat tervetulleita argumentteina mutta eivät haavoittuvuuksia: ne on ilmoitettu tietosivustolla nimenomaan, jotta tutkija ei tuhlaa iltapäivää todistaakseen jotain, jonka olemme jo julkaisseet.

Kaikki, mitä emme itse ylläpidä, mukaan lukien asiakkaan oma verkkosivusto, kolmannen osapuolen integraatiot ja kaikki järjestelmät, joihin päästään liittimen kautta. Palvelunestohyökkäykset, volumetriset tai resurssien uupumistestit sekä kaikki, mikä heikentää palvelua muille käyttäjille. Sosiaalinen manipulointi, phishing tai fyysiset hyökkäykset henkilökuntaamme, toimistojamme tai tavarantoimittajiamme vastaan. Roskaposti ja automaattisen skannerin tuottamat raportit, joissa ei ole analyysiä. Löydökset, jotka koskevat vain puuttuvaa käytännön mukaista otsaketta, evästettä ilman osoitettua vaikutusta, vanhentunutta kirjastoa ilman hyväksikäytettävää polkua, rajapintarajoitusta, jonka löysit ylittämällä sen, itse aiheutettua cross-site scripting -haavoittuvuutta, clickjacking-raporttia sivulla, jossa ei ole arkaluonteista toimintoa, tai laajan sisältöturvallisuuskäytännön puuttumista, jonka olemme jo dokumentoineet puutteeksi. Haavoittuvuudet, jotka vaativat fyysistä pääsyä uhrin lukitsemattomaan laitteeseen tai uhrin oman koneen root-tason kompromisointia.

Jos teet vilpittömän yrityksen noudattaa tätä käytäntöä tutkimuksesi aikana, katsomme tutkimuksesi luvalliseksi, työskentelemme kanssasi ongelman ymmärtämiseksi ja nopeaksi ratkaisemiseksi emmekä suosittele tai ryhdy oikeudellisiin toimiin sinua vastaan, mukaan lukien tietokoneiden väärinkäyttöä, hakkeroinnin vastaista lakia, suojausten kiertämisen vastaista lakia tai sopimusoikeutta koskevat perusteet, sekä kaikki vaatimukset hyväksyttävän käytön politiikan tai käyttöehtojen nojalla, joita testauksesi muuten rikkoisi. Jos kolmas osapuoli nostaa kanteen sinua vastaan tämän käytännön mukaisesti tehdystä tutkimuksesta, ilmoitamme, että toimintasi oli luvallista. Tämä turvasatama koskee vain meitä: se ei voi eikä anna sinulle lupaa toimia kolmatta osapuolta, toista asiakasta tai kenenkään muun järjestelmiä vastaan.

Käytä vain kirjautumistietoja ja tilejä, jotka omistat tai joilla sinulla on nimenomainen lupa testata, ja luo oma ilmainen työtila sen sijaan, että tutkisit jonkun muun tilaa. Älä pääse käsiksi, muokkaa, kopioi, vuoda tai tuhoa dataa, joka ei ole sinun, ja jos kohtaat asiakasdataa vahingossa, lopeta, älä tallenna sitä ja kerro meille välittömästi, mitä näit, jotta voimme arvioida altistumisen. Älä heikennä saatavuutta tai suorita kuormitus-, stressi- tai palvelunestotestejä. Älä käytä löytöäsi saadaksesi enemmän pääsyä kuin tarvitset sen osoittamiseen, äläkä ylläpidä pysyvyyttä. Älä kiristä, äläkä aseta julkistamista maksuehdoksi. Älä julkaise ennen kuin kohta 04 sallii. Noudata soveltuvaa lakia ja kaikkia sinua koskevia vientivalvonta- tai pakoterajoituksia.

Meillä ei ole tällä hetkellä rahallista bug bounty -ohjelmaa. Tarjoamme nopean, inhimillisen vastauksen, maininnan julkisessa tunnustuksessa halutessasi, kirjallisen suosituksen vakavista löydöksistä ja yllä mainitun turvasataman. Jos aloitamme maksullisen ohjelman, julkaisemme sen laajuuden ja palkkiovälit täällä ennen ensimmäisen ilmoituksen vastaanottamista.

Emme pyydä sinua allekirjoittamaan salassapitosopimusta raporttisi vastaanottamisen ehtona, emmekä käytä raportointilomaketta sitomaan sinua hiljaisuuteen. Emme uhkaa sinua raportista, joka osoittautuu vähävakavaksi tai kaksoiskappaleeksi. Emme ilmoita sinua työnantajallesi, yliopistollesi tai alustalle. Jos olemme eri mieltä vakavuusarvioistasi, selitämme miksi emmekä vain sulje keskustelua.

Asiakas, joka löytää haavoittuvuuden tuotetta käyttäessään, kuuluu tämän käytännön ja sen turvasataman piiriin, eikä haavoittuvuuden ilmoittaminen ole koskaan hyväksyttävän käytännön politiikan rikkomus. Ilmoita se tietoturvaosoitteeseen äläkä tavallisen tuen kautta, jotta se tavoittaa oikeat henkilöt jonottamatta. Vältä testaamista omien loppukäyttäjiesi tuotantotiedoilla, jos mahdollista.

Tietosivustossa luetellaan asiat, joita emme ole tarkoituksella rakentaneet, jotta tarkastaja tai tutkija saa tiedon niiltä meiltä eikä due diligence -prosessissa: live-volyymit eivät ole levytasolla salattuja, auditointiloki on sovellustasolla vain lisättävä (append-only) eikä sisällä hash-ketjua tai allekirjoitusta, laajaa sisällön suojauskäytäntöä ei ole, eikä meillä ole tällä hetkellä kolmannen osapuolen tietoturvasertifikaattia. Omien puutteiden julkaiseminen on halvin rehellisyyden muoto alallamme, ja se säästää kaikilta viikon.

Tietoturvailmoitukset ja kysymykset tästä käytännöstä osoitetaan security@transglot.ai. Kaikki muu kuin tietoturvaongelmat, mukaan lukien väärinkäytökset ja tekijänoikeudet, osoitetaan hello@transglot.ai. Tietosuoja- ja tietosuojakysymykset osoitetaan privacy@transglot.ai.