מחקר בתום לב לעולם אינו נתקל בעורכי דין.

מחקר אבטחה הופך את המוצר לבטוח יותר, ואנו רוצים שהדיווח יגיע אלינו לפני שיגיע לידי תוקף. אם תפעל לפי מדיניות זו, אנו: נאשר את קבלת הדיווח שלך במהירות, נשתף איתך פעולה כדי להבין ולתקף אותו, נעדכן אותך לאורך תהליך התיקון, נציין את שמך אם תרצה בכך, ולא ננקוט או נתמוך בהליכים משפטיים נגדך בגין המחקר. ההתחייבות האחרונה היא עיקר מסמך זה, והיא מנוסחת בסעיף 07.

שלח דוא״ל אל security@transglot.ai. כלול את מה שמצאת, היכן מצאת אותו, את השלבים לשחזור הבעיה, מה תוקף יכול לעשות באמצעותה וכל מידע שיעזור לנו לאמת אותה: בקשה ותגובה, סרטון קצר, הוכחת רעיון. ציין אם ברצונך שנציין את שמך ובאיזה שם. כתוב באנגלית אם אפשר. אם ברצונך להצפין את הדיווח, בקש בהודעה ראשונה ונחליף מפתח. אנו גם מפרסמים קובץ security.txt עם אותה כתובת, כך שסורק אוטומטי יפנה לתיבת דואר שאדם קורא.

אנו מאשרים קבלת דיווח בתוך שלושה ימי עסקים. אנו מספקים הערכה ראשונית, לרבות האם הצלחנו לשחזר את הבעיה וכיצד דירגנו אותה, בתוך עשרה ימי עסקים. אנו מודיעים לך כאשר תיקון מופץ, ובדרך כלל נפיץ תיקון לבעיה ברמת חומרה גבוהה או קריטית בתוך תשעים יום מאימותה, מהר יותר כאשר הסיכון פעיל. אם התיקון יארך זמן רב יותר, נסביר מדוע במקום לשתוק. נודיע לך לפני שנפרסם כל מידע על הבעיה, ולא נפרסם את שמך ללא אישורך.

אנא המתן תשעים יום מהדיווח הראשון שלך לפני פרסום פרטים, ויותר מכך בהסכמה אם התיקון מורכב באמת או אם הוא דורש פעולה מצד הלקוח. לא נשתמש בתקופה זו כדי לקבור את הבעיה: נעדכן אותך לאורך הדרך, ואם לא נוכל לתקן אותה נודיע לך גם על כך, ולא נתנגד לפרסום לאחר תום התקופה. אם בעיה מנוצלת באופן פעיל, הודע לנו מיד ונפעל במהירות המתאימה. אנו שמחים לתאם הודעה משותפת ולבקש CVE כאשר הדבר מתאים.

יישום האינטרנט בסביבת הייצור ואתר השיווק בדומיינים שלנו, ה-API הציבורי של REST, נקודת הקצה לאספקה, העורך ההקשרי וממשקי ההטמעה שלו, חבילות הלקוח שפרסמנו, אספקת webhook וחתימה עליה, תהליכי האימות והכניסה היחידה (SSO) שלנו, והתשתית הציבורית שלנו כפי שהיא נגישה מהאינטרנט. דיווחים על החלטת עיצוב שתיעדנו כפשרה מכוונת, כגון מאגר זיכרון התרגום להתאמה מדויקת משותף או היעדר הצפנה ברמת הדיסק בכוננים החיים, מתקבלים בברכה כטיעונים אך אינם נחשבים לפרצות אבטחה: הם מצוינים בדף האבטחה בדיוק כדי שחוקר לא יבזבז אחר הצהריים בהוכחת דבר שכבר פרסמנו.

כל דבר שאינו מופעל על ידנו, לרבות אתר אינטרנט של לקוח, אינטגרציה של צד שלישי וכל מערכת שנגישה דרך מחבר. מניעת שירות (DoS), בדיקות עומס נפחי או מיצוי משאבים, וכל פעולה הפוגעת בזמינות השירות עבור משתמשים אחרים. הנדסה חברתית, פישינג או ניסיונות פיזיים נגד הצוות שלנו, המשרדים שלנו או הספקים שלנו. ספאם ודוחות שנוצרו על ידי סורק אוטומטי ללא ניתוח נלווה. ממצאים הכוללים רק כותרת חסרה לפי שיטות עבודה מומלצות, דגל עוגייה ללא השפעה מוכחת, ספרייה מיושנת ללא מסלול ניצול, הגבלת קצב שזוהתה על ידי חריגה ממנה, XSS עצמי, דיווח על clickjacking בדף ללא פעולה רגישה, או היעדר מדיניות אבטחת תוכן רחבה, שכבר מתועדת אצלנו כחסר. פרצות הדורשות גישה פיזית למכשיר לא נעול של הקורבן, או הדורשות פשרת רמת root במכשיר של הקורבן עצמו.

אם תפעלו בתום לב כדי לעמוד במדיניות זו במהלך המחקר שלכם, נתייחס למחקר שלכם כמאושר, נשתף איתכם פעולה כדי להבין ולפתור את הבעיה במהירות, ולא נמליץ או ננקוט בהליכים משפטיים נגדכם, לרבות על פי חוקי ניצול לרעה של מחשבים, חוקים נגד פריצה, חוקים נגד עקיפת אמצעי הגנה או דיני חוזים, ולרבות כל טענה במסגרת מדיניות השימוש המקובל או תנאי השירות שהבדיקה שלכם הייתה מפרה אותם אחרת. אם צד שלישי ינקוט בהליכים משפטיים נגדכם בגין מחקר שבוצע במסגרת מדיניות זו, נבהיר כי הפעילויות שלכם היו מאושרות. הנמל הבטוח הזה מוגבל אלינו בלבד: הוא אינו יכול ואינו מאשר לכם לפעול נגד צד שלישי, לקוח אחר או מערכות של כל אדם אחר.

השתמשו רק בחשבונות וכניסות השייכים לכם או שיש לכם אישור מפורש לבדוק אותם, וצרו סביבת עבודה חינמית משלכם במקום לבדוק את זו של מישהו אחר. אל תגשו, תשנו, תעתיקו, תוציאו או תשמידו נתונים שאינם שלכם, ואם נתקלתם בטעות בנתוני לקוח, עצרו, אל תשמרו אותם ודווחו לנו מיד על מה שראיתם כדי שנוכל להעריך את החשיפה. אל תפגעו בזמינות ואל תבצעו בדיקות עומס, לחץ או מניעת שירות. אל תשתמשו בממצא כדי להשיג גישה רבה יותר מזו הדרושה להדגמתו, ואל תשמרו על התמדה (persistence). אל תסחטו ואל תתנו פרסום כתנאי לתשלום. אל תפרסמו לפני שמותר לפי סעיף 04. פעלו בהתאם לחוק הרלוונטי ולכל הגבלת ייצוא או סנקציות החלות עליכם.

כיום אין תוכנית באג-באונטי בתשלום. מה שאנו מציעים הוא תגובה אנושית מהירה, ציון לשבח באישור פומבי אם תרצו בכך, המלצה כתובה עבור ממצאים רציניים, והנמל הבטוח המתואר לעיל. אם נפעיל תוכנית בתשלום, נפרסם כאן את ההיקף ואת טווחי התגמולים לפני שנקבל את הדיווח הראשון.

לא נבקש מכם לחתום על הסכם אי-גילוי כתנאי לקבלת הדיווח שלכם, ולא נשתמש בטופס הגשת דיווח כדרך לכפות עליכם שתיקה. לא נאיים עליכם בגין דיווח שמתברר כבעל חומרה נמוכה או ככפול. לא נדווח עליכם למעסיק שלכם, לאוניברסיטה שלכם או לפלטפורמה. אם נחלוק על דירוג החומרה שלכם נסביר מדוע במקום לסגור את השיחה.

לקוח המאתר פרצת אבטחה בעת שימוש במוצר מכוסה על ידי מדיניות זו ועל ידי מקלט הבטיחות שלה, ודיווח עליה לעולם אינו מהווה הפרה של מדיניות השימוש המקובל. דווח עליה לכתובת האבטחה ולא דרך התמיכה הרגילה, כדי שתגיע לידי האנשים הנכונים מבלי להמתין בתור. הימנע מבדיקות באמצעות נתוני ייצור השייכים למשתמשי הקצה שלך, ככל האפשר.

דף האבטחה מציין את הדברים שלא בנינו, במכוון, כך שמבקר או חוקר ילמד עליהם מאיתנו ולא במהלך בדיקת נאותות: הכוננים החיים אינם מוצפנים ברמת הדיסק, יומן הביקורת הוא append-only בשכבת היישום ואינו כולל שרשרת hash או חתימה, אין מדיניות אבטחת תוכן רחבה, וכיום אין בידינו הסמכת אבטחה של צד שלישי. פרסום הפערים שלנו הוא הצורה הזולה ביותר של כנות בעסקים וחוסך לכולם שבוע עבודה.

דיווחי אבטחה ושאלות בנוגע למדיניות זו יש לשלוח אל security@transglot.ai. כל עניין שאינו נושא אבטחה, לרבות התעללות וזכויות יוצרים, יש להפנות אל hello@transglot.ai. נושאי פרטיות והגנת נתונים יש להפנות אל privacy@transglot.ai.