Cercetare în bună-credință nu este întâmpinată niciodată cu avocați.

Cercetarea în domeniul securității face produsul mai sigur, iar noi dorim ca raportul să ajungă la noi înainte de a ajunge la un atacator. Dacă respectați această politică, vom: confirma primirea raportului dumneavoastră rapid, vom colabora cu dumneavoastră pentru a înțelege și valida problema, vă vom ține la curent în timp ce o remediem, vă vom menționa dacă doriți să fiți creditat și nu vom iniția sau susține acțiuni legale împotriva dumneavoastră pentru cercetarea efectuată. Acest ultim angajament este esența acestui document, iar clauza 07 îl detaliază.

Trimiteți un e-mail la security@transglot.ai. Includeți ceea ce ați găsit, unde ați găsit, pașii pentru reproducere, ce ar putea face un atacator cu aceasta și orice altceva care ne ajută să confirmăm: o cerere și un răspuns, un scurt videoclip, o demonstrație de concept. Spuneți-ne dacă doriți să fiți creditat și sub ce nume. Scrieți în engleză, dacă puteți. Dacă doriți să criptați raportul, solicitați acest lucru într-un prim mesaj și vom schimba o cheie. Publicăm, de asemenea, un fișier security.txt cu aceeași adresă, astfel încât un scanner automatizat să indice către o cutie poștală citită de o persoană.

Confirmăm primirea unui raport în termen de trei zile lucrătoare. Oferim o evaluare inițială, inclusiv dacă putem reproduce problema și cum am clasificat-o, în termen de zece zile lucrătoare. Vă informăm când este lansată o remediere și, în mod normal, vom lansa una pentru o problemă de severitate mare sau critică în termen de nouăzeci de zile de la validarea acesteia, mai rapid dacă riscul este activ. Dacă o remediere va dura mai mult, vă explicăm de ce, în loc să tăcem. Vă vom anunța înainte de a publica orice informație despre problemă și nu vă vom publica numele fără acordul dumneavoastră.

Vă rugăm să ne acordați nouăzeci de zile de la primul raport înainte de a publica detalii și o perioadă mai lungă, prin acord, dacă remedierea este cu adevărat complexă sau dacă necesită acțiunea unui client. Nu vom folosi această perioadă pentru a mușamaliza problema: vă vom ține la curent și, dacă nu o putem remedia, vă vom spune și acest lucru, iar nu ne vom opune publicării după expirarea perioadei. Dacă o problemă este exploatată activ, anunțați-ne imediat și vom acționa cu aceeași viteză. Suntem dispuși să coordonăm un aviz comun și să solicităm un CVE acolo unde este adecvat.

Aplicația web de producție și site-ul de marketing pe domeniile noastre, API-ul REST public, punctul final de livrare, editorul contextual și suprafețele sale de integrare, pachetele noastre de client publicate, livrarea și semnarea webhook-urilor, fluxurile noastre de autentificare și single sign-on și infrastructura noastră publică, așa cum este accesibilă de pe internet. Raportările privind o decizie de design pe care am documentat-o ca fiind un compromis deliberat, cum ar fi pool-ul de memorie de traducere cu potrivire exactă partajat sau absența criptării la nivel de disc pe volumele active, sunt binevenite ca argumente, dar nu sunt vulnerabilități: acestea sunt menționate pe pagina de securitate tocmai pentru ca un cercetător să nu petreacă o după-amiază dovedind ceva pe care noi deja publicăm.

Orice nu este operat de noi, inclusiv site-ul web al unui client, o integrare terță parte și orice sistem accesat printr-un conector. Refuzul serviciului, testele volumetrice sau de epuizare a resurselor și orice altceva care degradează serviciul pentru alți utilizatori. Inginerie socială, phishing sau tentative fizice împotriva personalului nostru, birourilor noastre sau furnizorilor noștri. Spam și raportări generate de un scanner automatizat fără analiză atașată. Descoperiri care constau doar într-un antet lipsă de bună practică, un flag de cookie fără impact demonstrat, o bibliotecă învechită fără cale de exploatare, o limită de rată pe care ați depășit-o, un cross-site scripting auto-provocat, un raport de clickjacking pe o pagină fără acțiune sensibilă sau absența unei politici largi de securitate a conținutului, pe care o documentăm deja ca lacună. Vulnerabilități care necesită acces fizic la dispozitivul deblocat al unei victime sau care necesită un compromis la nivel de root al mașinii victimei.

Dacă faceți un efort de bună-credință pentru a respecta această politică în timpul cercetării, vom considera cercetarea dumneavoastră autorizată, vom colabora cu dumneavoastră pentru a înțelege și rezolva rapid problema și nu vom recomanda sau iniția acțiuni legale împotriva dumneavoastră, inclusiv în temeiul legislației privind utilizarea abuzivă a computerelor, anti-hacking, anti-eludare sau dreptul contractual, inclusiv orice reclamație în temeiul Politicii de Utilizare Acceptabilă sau al Termenilor și Condițiilor pe care testarea dumneavoastră le-ar încălca în alte circumstanțe. Dacă o terță parte inițiază o acțiune legală împotriva dumneavoastră pentru cercetarea efectuată în temeiul acestei politici, vom face cunoscut faptul că activitățile dumneavoastră au fost autorizate. Această protecție este limitată la noi: nu poate și nu vă autorizează să acționați împotriva unei terțe părți, a altui client sau a sistemelor altcuiva.

Folosiți doar conturi de conectare și Conturi pe care le dețineți sau pentru care aveți permisiune explicită de testare și creați-vă propriul spațiu de lucru gratuit, în loc să investigați spațiul altcuiva. Nu accesați, modificați, copiați, exfiltrați sau distrugeți date care nu sunt ale dumneavoastră și, dacă întâlniți accidental date ale clienților, opriți-vă, nu le salvați și spuneți-ne imediat ce ați văzut, pentru a evalua expunerea. Nu degradați disponibilitatea și nu executați teste de încărcare, stres sau refuz al serviciului. Nu folosiți o descoperire pentru a obține mai mult acces decât este necesar pentru a o demonstra și nu mențineți persistența. Nu șantajați și nu condiționați divulgarea de o plată. Nu publicați înainte ca clauza 04 să permită. Respectați legislația aplicabilă și orice restricție de control al exportului sau sancțiuni care vi se aplică.

În prezent, nu există un program de recompense pentru bug-uri plătite. Ceea ce oferim este un răspuns rapid, uman, menționarea într-o recunoaștere publică dacă doriți, o recomandare scrisă pentru descoperiri serioase și protecția menționată mai sus. Dacă lansăm un program plătit, vom publica aici domeniul de aplicare și intervalele de recompense înainte de a accepta prima submitere.

Nu vă vom cere să semnați un acord de confidențialitate ca condiție pentru primirea raportului dumneavoastră și nu vom utiliza un formular de submitere a rapoartelor pentru a vă obliga la tăcere. Nu vă vom amenința pentru un raport care se dovedește a fi de severitate scăzută sau duplicat. Nu vă vom raporta angajatorului, universității sau unei platforme. Dacă nu suntem de acord cu evaluarea severității, vă vom explica de ce, în loc să închidem discuția.

Un client care descoperă o vulnerabilitate în timpul utilizării produsului este acoperit de această politică și de clauza sa de protecție, iar raportarea acesteia nu constituie niciodată o încălcare a Politicii de Utilizare Acceptabilă. Raportați-o la adresa de securitate, nu prin suportul obișnuit, pentru a ajunge la persoanele potrivite fără a sta într-o coadă de așteptare. Nu testați folosind date de producție ale utilizatorilor finali proprii, dacă puteți evita acest lucru.

Pagina de securitate enumeră lucrurile pe care nu le-am construit, în mod intenționat, astfel încât un auditor sau un cercetător să le afle direct de la noi, nu în urma unei diligente: volumele active nu sunt criptate la nivel de disc, jurnalul de audit este doar de tip append-only la nivelul aplicației și nu include un lanț hash sau o semnătură, nu există o politică largă de securitate a conținutului, iar în prezent nu deținem nicio certificare de securitate terță parte. Publicarea propriilor noastre lacune este cea mai ieftină formă de onestitate din industrie și economisește tuturor o săptămână.

Raportările de securitate și întrebările despre această politică se trimit la security@transglot.ai. Orice altceva care nu este o problemă de securitate, inclusiv abuzul și drepturile de autor, se trimite la hello@transglot.ai. Problemele legate de confidențialitate și protecția datelor se trimit la privacy@transglot.ai.