Jóhiszemű kutatás sosem találkozik ügyvédekkel.

A biztonsági kutatások biztonságosabbá teszik a terméket, és azt szeretnénk, ha a jelentés előbb jutna el hozzánk, mint egy támadóhoz. Ha követi ezt az irányelvet, mi: gyorsan visszajelzést adunk a jelentésre; együttműködünk Önnel a probléma megértésében és ellenőrzésében; tájékoztatjuk Önt a javítás folyamatáról; feltünteti Önt, ha kívánja; és nem indítunk, illetve nem támogatunk jogi lépéseket Önnel szemben a kutatás miatt. Ez utóbbi kötelezettségvállalás ennek a dokumentumnak a lényege, amelyet a 07. pont részletesen kifejt.

Küldjön e-mailt a(z) security@transglot.ai címre. Tüntesse fel, mit talált, hol találta, a reprodukálás lépéseit, hogy mit tehetne vele egy támadó, valamint minden olyan információt, amely segít a megerősítésben: kérést és választ, rövid videót, proof of conceptet. Jelezze, ha szeretné, hogy feltüntessük Önt, és milyen néven. Írjon angolul, ha lehetséges. Ha titkosítani szeretné a jelentést, kérje az első üzenetben, és kulcsot cserélünk. Közzétettünk egy security.txt fájlt is ugyanazzal a címmel, így az automatikus szkennerek egy ember által olvasott postafiókra irányítanak.

Három munkanapon belül visszajelzést adunk a jelentésre. Tíz munkanapon belül kezdeti értékelést adunk, beleértve azt, hogy reprodukálható-e a hiba, és hogyan értékeltük azt. Értesítjük Önt, amikor a javítás megjelenik, és általában kilencven napon belül kiadjuk a javítást magas vagy kritikus súlyosságú problémák esetén a validálástól számítva, gyorsabban, ha a kockázat aktív. Ha a javítás tovább tart, elmagyarázzuk az okot, ahelyett, hogy csendben maradnánk. Tárgyalunk Önnel, mielőtt bármit közzétennénk a problémáról, és nem tesszük közzé a nevét az engedélye nélkül.

Kérjük, adjon nekünk kilencven napot az első jelentéstől számítva a részletek közzététele előtt, és egyeztetés alapján hosszabb időt, ha a javítás valóban összetett, vagy ha a javításhoz az ügyfél intézkedése szükséges. Nem használjuk ezt az időszakot a probléma elfedésére: folyamatosan tájékoztatjuk Önt, és ha nem tudjuk megoldani, azt is jelezzük, és nem tiltakozunk a közzététel ellen, ha az időszak lejárt. Ha egy problémát aktívan kihasználnak, értesítsen minket azonnal, és ennek megfelelő sebességgel járunk el. Szívesen koordinálunk közös közleményt, és CVE-kérelmet nyújtunk be, ahol ez indokolt.

Az éles webalkalmazás és a marketingoldal saját domainjeinken, a nyilvános REST API, a kézbesítési végpont, a kontextuális szerkesztő és annak beágyazási felületei, a közzétett klienscsomagjaink, a webhook-kézbesítés és -aláírás, a hitelesítési és egyszeri bejelentkezési (SSO) folyamatok, valamint a nyilvános infrastruktúránk, ahogy az elérhető az internetről. A dokumentált tervezési döntésekkel kapcsolatos jelentések, mint például a megosztott pontos egyezésű fordítási memória vagy az éles kötetek lemezszintű titkosításának hiánya, szívesen látott érvek, de nem minősülnek sebezhetőségnek: ezek szerepelnek a biztonsági oldalon, pontosan azért, hogy a kutatók ne töltsenek délutánokat olyan dolgok bizonygatásával, amelyeket már nyilvánosságra hoztunk.

Bármi, amit nem mi üzemeltetünk, beleértve az ügyfél saját weboldalát, harmadik féltől származó integrációkat és bármilyen rendszert, amelyhez csatlakozón keresztül férnek hozzá. Szolgáltatásmegtagadás (DoS), volumetrikus vagy erőforrás-kimerítési tesztelés, és bármi, ami rontja a szolgáltatás elérhetőségét más felhasználók számára. Social engineering, phishing vagy fizikai kísérletek személyzetünk, irodáink vagy beszállítóink ellen. Spam, és automatikus szkennerek által generált jelentések elemzés nélkül. Olyan eredmények, amelyek csak hiányzó best-practice fejlécet, demonstrálható hatás nélküli cookie-zászlót, kiaknázható út nélküli elavult könyvtárat, túllépéssel felfedezett rate limitet, önindukált XSS-t, clickjackinget olyan oldalon, ahol nincs érzékeny művelet, vagy a széles körű tartalom-biztonsági házirend hiányát jelentik, amit már dokumentáltunk hézagként. Olyan sebezhetőségek, amelyekhez áldozat unlocked eszközéhez való fizikai hozzáférés, vagy az áldozat saját gépének root-szintű kompromittálása szükséges.

Ha jóhiszeműen törekszik ezen irányelv betartására kutatása során, kutatását engedélyezettnek tekintjük, együttműködünk Önnel a probléma gyors megértésében és megoldásában, és nem javasolunk, illetve nem indítunk jogi lépéseket Önnel szemben, beleértve a számítógépes visszaélésekkel, hackeléssel, védelem kijátszásával vagy szerződési joggal kapcsolatos ügyeket, valamint az Elfogadható Használati Irányelvek vagy a Szolgáltatási Feltételek szerinti igényeket, amelyeket a tesztelés egyébként megsértene. Ha harmadik fél indít eljárást Önnel szemben ezen irányelv szerinti kutatás miatt, tudatjuk, hogy tevékenységei engedélyezettek voltak. Ez a biztonságos kikötés csak ránk vonatkozik: nem jogosítja fel és nem engedélyezi, hogy harmadik fél, másik ügyfél vagy bárki más rendszerei ellen lépjen fel.

Csak saját tulajdonú vagy kifejezett engedéllyel rendelkező bejelentkezéseket és fiókokat használjon, és hozzon létre saját ingyenes munkaterületet, ahelyett, hogy másokét vizsgálná. Ne férjen hozzá, módosítson, másoljon, exfiltráljon vagy semmisítsen meg nem Önhez tartozó adatokat, és ha véletlenül ügyféladatokba botlik, álljon le, ne mentse el őket, és azonnal jelezze, mit látott, hogy felmérhessük a kitettséget. Ne rontsa az elérhetőséget, és ne futtasson terheléses, stressz- vagy szolgáltatásmegtagadási teszteket. Ne használjon egy eredményt több hozzáférés megszerzésére, mint amennyi a demonstráláshoz szükséges, és ne tartson fenn perzisztenciát. Ne zsaroljon, és ne kösse a nyilvánosságra hozatalt fizetéshez. Ne tegyen közzé semmit, mielőtt a 04. pont engedélyezné. Tartsa be a vonatkozó jogszabályokat, valamint az Önre vonatkozó exportellenőrzési vagy szankciós korlátozásokat.

Jelenleg nincs fizetett bug bounty program. Amit kínálunk: gyors, emberi válasz; nyilvános elismerés, ha kéri; írásos referencia komolyabb eredményekért; és a fenti biztonságos kikötés. Ha indítunk fizetett programot, itt tesszük közzé a hatályt és a díjazási sávokat, mielőtt fogadnánk az első beküldést.

Nem kérjük, hogy titoktartási megállapodást írjon alá a jelentés fogadásának feltételeként, és nem használjuk a jelentésbeküldő űrlapot arra, hogy hallgatásra kötelezzük Önt. Nem fenyegetjük meg Önt, ha a jelentés alacsony kockázatúnak bizonyul, vagy duplikátum. Nem jelentjük Önt a munkáltatónál, az egyetemén vagy egy platformon. Ha nem értünk egyet az Ön által megadott súlyossági besorolással, megmagyarázzuk, miért, ahelyett, hogy lezárnánk a kommunikációt.

Az a ügyfél, aki a termék használata során sebezhetőséget talál, erre az irányelvre és annak biztonságos kikötésére támaszkodhat, és a bejelentés soha nem minősül az Elfogadható Használati Irányelvek megsértésének. Jelentse a biztonsági e-mail címre, ne pedig a szokásos támogatási csatornán keresztül, így a jelentés közvetlenül a megfelelő személyekhez jut el, várakozási sor nélkül. Kerülje el, hogy éles, saját végfelhasználóinak adatait használja teszteléshez.

A biztonsági oldal felsorolja azokat a dolgokat, amelyeket szándékosan nem építettünk be, így a felülvizsgálók vagy kutatók tőlünk tudják meg ezeket, nem pedig due diligence során: az éles kötetek nincsenek lemezszintű titkosítással védve, az auditnapló alkalmazásszinten csak hozzáfűzéses (append-only), és nem tartalmaz hash-láncot vagy aláírást, nincs széles körű tartalom-biztonsági házirend (CSP), és jelenleg nem rendelkezünk harmadik féltől származó biztonsági tanúsítvánnyal. Saját hiányosságaink nyilvánosságra hozatala a legolcsóbb őszinteség az üzletben, és mindenki számára megtakarít egy hetet.

A biztonsági jelentéseket és az ezzel az irányelvvel kapcsolatos kérdéseket a(z) security@transglot.ai címre kell küldeni. Minden egyéb, nem biztonsági jellegű ügyet, beleértve a visszaéléseket és szerzői jogi kérdéseket, a(z) hello@transglot.ai címre kell irányítani. Az adatvédelmi és adatkezelési kérdésekkel a(z) privacy@transglot.ai címen lehet felvenni a kapcsolatot.