Исследования добросовестных исследователей никогда не встречают юристов.

Исследования в области безопасности делают продукт надежнее, и мы хотим, чтобы отчет попал к нам раньше, чем к злоумышленнику. Если вы соблюдаете эту политику, мы: быстро подтвердим получение отчета, поработаем с вами над пониманием и проверкой проблемы, будем держать вас в курсе процесса исправления, упомянем вас в благодарностях, если вы этого хотите, и не будем инициировать или поддерживать юридические действия против вас за проведение исследования. Последнее обязательство является сутью этого документа, и пункт 07 формулирует его подробно.

Пишите на security@transglot.ai. Укажите, что вы нашли, где именно, шаги для воспроизведения, что может сделать злоумышленник, и все, что поможет нам подтвердить проблему: запрос и ответ, короткое видео, доказательство концепции. Сообщите, хотите ли вы, чтобы вас упомянули, и под каким именем. По возможности пишите на английском языке. Если вы хотите зашифровать отчет, запросите это в первом сообщении, и мы обменяемся ключами. Мы также публикуем файл security.txt с тем же адресом, чтобы автоматические сканеры направляли уведомления в почтовый ящик, который читает человек.

Мы подтверждаем получение отчета в течение трех рабочих дней. В течение десяти рабочих дней мы предоставляем первоначальную оценку, включая информацию о том, можем ли мы воспроизвести проблему и как мы ее классифицировали. Мы сообщаем вам о выпуске исправления и обычно выпускаем исправление для проблем высокого или критического уровня в течение девяноста дней после их подтверждения, быстрее, если риск активен. Если исправление займет больше времени, мы объясним причину, а не будем молчать. Мы предупредим вас перед публикацией любой информации о проблеме и не будем публиковать ваше имя без согласия.

Пожалуйста, подождите девяносто дней с момента первого отчета перед публикацией деталей и дольше по соглашению, если исправление действительно сложное или требует действий со стороны клиента. Мы не будем использовать этот период, чтобы скрыть проблему: мы будем держать вас в курсе, и если не сможем исправить ее, мы также сообщим вам об этом, и не будем возражать против публикации после истечения срока. Если проблема активно эксплуатируется, сообщите нам немедленно, и мы будем действовать соответственно. Мы готовы координировать совместное уведомление и запрашивать CVE, если это уместно.

Производственное веб-приложение и маркетинговый сайт на наших доменах, публичный REST API, точка доставки, встроенный редактор и его поверхности встраивания, наши опубликованные клиентские пакеты, доставка и подпись вебхуков, процессы аутентификации и единого входа (SSO), а также наша публичная инфраструктура, доступная из интернета. Отчеты о проектных решениях, которые мы задокументировали как осознанный компромисс, такие как общий пул памяти переводов с точным совпадением или отсутствие шифрования на уровне диска для живых томов, приветствуются как аргументы, но не являются уязвимостями: они указаны на странице безопасности именно для того, чтобы исследователь не тратил полдня на доказательство того, что мы уже опубликовали.

Все, чем управляем не мы, включая сайты клиентов, интеграции третьих сторон и любые системы, доступные через коннекторы. Отказ в обслуживании, объемное тестирование или исчерпание ресурсов, а также все, что ухудшает работу сервиса для других пользователей. Социальная инженерия, фишинг или физические попытки воздействия на наших сотрудников, офисы или поставщиков. Спам и отчеты, созданные автоматическим сканером без прилагаемого анализа. Находки, представляющие собой только отсутствующий заголовок лучшей практики, флаг cookie без продемонстрированного влияния, устаревшую библиотеку без эксплуатируемого пути, ограничение скорости, найденное путем его превышения, самоиндуцированный межсайтовый скриптинг (XSS), отчет о кликджекинге на странице без чувствительных действий или отсутствие расширенной политики безопасности контента, которое мы уже документируем как пробел. Уязвимости, требующие физического доступа к разблокированному устройству жертвы или компрометации машины жертвы на уровне root.

Если вы добросовестно стараетесь соблюдать эту политику во время исследования, мы будем считать ваше исследование авторизованным, поработаем с вами над быстрым пониманием и решением проблемы и не будем рекомендовать или инициировать против вас юридические действия, включая действия по законам о неправомерном использовании компьютеров, антихакерским законам, законам против обхода защиты или договорному праву, а также любые претензии по Политике допустимого использования или Условиям предоставления услуг, которые ваше тестирование иначе нарушало бы. Если третья сторона подаст иск против вас за исследование, проведенное в рамках этой политики, мы заявим, что ваши действия были авторизованы. Эта безопасная гавань ограничена нами: она не может и не авторизует вас действовать против третьих лиц, других клиентов или систем кого-либо еще.

Используйте только те логины и аккаунты, которыми вы владеете или на тестирование которых имеете явное разрешение, и создавайте собственное бесплатное рабочее пространство вместо того, чтобы исследовать чужие. Не получайте доступ, не изменяйте, не копируйте, не извлекайте и не уничтожайте данные, которые вам не принадлежат, а если вы случайно столкнетесь с данными клиентов, немедленно остановитесь, не сохраняйте их и сообщите нам, что именно вы увидели, чтобы мы могли оценить масштаб утечки. Не снижайте доступность сервиса и не проводите нагрузочные, стресс-тесты или тесты на отказ в обслуживании. Не используйте найденную уязвимость для получения большего доступа, чем необходимо для ее демонстрации, и не закрепляйтесь в системе. Не занимайтесь вымогательством и не ставите раскрытие информации в зависимость от выплаты вознаграждения. Не публикуйте информацию до разрешения, предусмотренного пунктом 04. Соблюдайте применимое законодательство и любые ограничения экспортного контроля или санкций, которые применяются к вам.

Сегодня у нас нет платной программы вознаграждений за обнаружение уязвимостей. Мы предлагаем быстрое и человечное реагирование, указание вашего имени в публичном благодарственном списке (по желанию), письменную рекомендацию для серьёзных находок и вышеупомянутую защиту от судебных преследований. Если мы запустим платную программу, то опубликуем её условия и диапазоны выплат здесь до приёма первых заявок.

Мы не требуем подписывать соглашение о неразглашении (NDA) как условие принятия вашего отчета и не используем форму отправки для наложения обязательств о молчании. Мы не угрожаем вам, если отчет окажется низкого уровня критичности или дубликатом. Мы не сообщаем о вас вашему работодателю, университету или платформе. Если мы не согласны с вашей оценкой серьезности, мы объясним почему, а не просто закроем тему.

Клиент, обнаруживший уязвимость при использовании продукта, защищен этой политикой и правилом безопасной гавани, а сообщение об уязвимости никогда не является нарушением Политики допустимого использования. Сообщайте об этом на адрес службы безопасности, а не через обычную поддержку, чтобы информация попала к нужным людям без ожидания в очереди. По возможности не проводите тестирование на производственных данных ваших конечных пользователей.

На странице безопасности перечислены функции, которые мы намеренно не реализовали, чтобы рецензенты и исследователи узнали об этом от нас, а не в ходе аудита: живые тома не шифруются на диске, журнал аудита поддерживает только добавление записей на уровне приложения и не имеет хеш-цепочки или цифровой подписи, отсутствует расширенная политика безопасности контента, и на данный момент у нас нет сторонних сертификатов безопасности. Публикация наших собственных пробелов — это самый дешевый способ быть честными в бизнесе, который экономит всем неделю времени.

Отчеты по безопасности и вопросы по этой политике направляйте на security@transglot.ai. Все, что не относится к безопасности, включая злоупотребления и нарушения авторских прав, направляйте на hello@transglot.ai. Вопросы конфиденциальности и защиты данных направляйте на privacy@transglot.ai.