Výskum v dobrej viere sa nikdy nestretáva s právnymi hrozbami.

Bezpečnostný výskum robí produkt bezpečnejším a my chceme, aby sa hlásenie dostalo k nám skôr, než k útočníkovi. Ak budete dodržiavať túto zásadu, budeme: rýchlo potvrdiť prijatie vášho hlásenia, spolupracovať s vami na jeho pochopení a overení, informovať vás počas procesu opravy, uviesť vás ako autora, ak si to želáte, a nebudeme proti vám podnikávať ani podporovať právne kroky za tento výskum. Tento posledný záväzok je podstatou tohto dokumentu a klauzula 07 ho špecifikuje.

Napíšte na security@transglot.ai. Uveďte, čo ste našli, kde ste to našli, kroky na reprodukovanie, čo by s tým mohol útočník urobiť a čokoľvek, čo nám pomôže to potvrdiť: požiadavku a odpoveď, krátke video, proof of concept. Povedzte nám, či chcete byť uvedený ako autor a pod akým menom. Ak je to možné, píšte po anglicky. Ak chcete hlásenie zašifrovať, požiadajte v prvej správe a vymeníme si kľúč. Publikujeme aj súbor security.txt s rovnakou adresou, takže automatizovaný skener nasmeruje na schránku, ktorú číta človek.

Hlásenie potvrdíme do troch pracovných dní. Do desiatich pracovných dní poskytneme počiatočné posúdenie, vrátane toho, či ho vieme reprodukovať a ako sme ho ohodnotili. Informujeme vás, keď bude oprava vydaná, a zvyčajne ju pre vysokú alebo kritickú chybu vydáme do deväťdesiatich dní od jej overenia, rýchlejšie, ak je riziko aktívne. Ak bude oprava trvať dlhšie, vysvetlíme vám prečo, namiesto toho, aby sme mlčali. Pred zverejnením akýchkoľvek informácií o probléme vás informujeme a vaše meno nezverejníme bez vášho súhlasu.

Prosíme, počkajte s publikovaním detailov deväťdesiat dní od vášho prvého hlásenia, prípadne dlhšie po dohode, ak je oprava skutočne komplexná alebo si vyžaduje zásah zákazníka. Toto obdobie nevyužijeme na utajenie problému: budeme vás informovať, a ak ho nedokážeme opraviť, tiež vám to povieme, a po uplynutí tohto obdobia nebudeme namietať proti zverejneniu. Ak je problém aktívne zneužívaný, okamžite nás informujte a budeme konať zodpovedajúcou rýchlosťou. Radi koordinujeme spoločné advisory a požiadame o CVE, ak je to vhodné.

Produktová webová aplikácia a marketingová stránka na našich vlastných doménach, verejné REST API, doručovací endpoint, editor v kontexte a jeho embed povrchy, naše publikované klientské balíčky, doručovanie a podpisovanie webhookov, naše autentizačné a single sign-on toky a naša verejná infraštruktúra, pokiaľ je dostupná z internetu. Hlásenia týkajúce sa dizajnových rozhodnutí, ktoré sme zdokumentovali ako zámerný kompromis, ako je napríklad spoločná pamäť prekladov s presnou zhodou alebo absencia šifrovania na úrovni disku pri živých zväzkoch, sú vítané ako argumenty, ale nie sú zraniteľnosťami: sú uvedené na stránke o bezpečnosti práve preto, aby výskumník nestrávil popoludnie dokazovaním niečoho, čo už publikujeme.

Čokoľvek, čo neprevádzkujeme my, vrátane webových stránok zákazníkov, integrácií tretích strán a akéhokoľvek systému dosiahnuteľného cez konektor. Odmietnutie služby, testovanie objemového alebo vyčerpania zdrojov a čokoľvek, čo zhoršuje službu pre iných používateľov. Sociálne inžinierstvo, phishing alebo fyzické pokusy proti našim zamestnancom, kanceláriám alebo dodávateľom. Spam a hlásenia generované automatizovaným skenerom bez priloženej analýzy. Nálezy, ktoré sú len chýbajúcim best-practice headerom, flagom cookie bez preukázateľného dopadu, zastaranou knižnicou bez exploitačnej cesty, limitom rate, ktorý ste našli jeho prekročením, self-inflicted cross-site scriptingom, hlásením clickjackingu na stránke bez citlivej akcie alebo absenciou širokej politiky zabezpečenia obsahu, ktorú už dokumentujeme ako medzeru. Zraniteľnosti vyžadujúce fyzický prístup k odomknutému zariadeniu obete alebo root-level kompromitáciu stroja obete.

Ak sa počas svojho výskumu snažíte dodržiavať túto zásadu v dobrej viere, budeme váš výskum považovať za autorizovaný, budeme s vami spolupracovať na rýchlom pochopení a vyriešení problému a nebudeme odporúčať ani podnikávať proti vám právne kroky, vrátane tých podľa zákonov o zneužívaní počítačov, anti-hackingu, obchádzaní ochrany alebo zmluvnom práve, a vrátane akéhokoľvek nároku podľa Zásad prijateľného používania alebo Podmienok služby, ktoré by vaše testovanie inak porušilo. Ak proti vám tretia strana podnikne právne kroky za výskum vykonaný podľa tejto zásady, dáme verejne najavo, že vaše aktivity boli autorizované. Tento bezpečný prístav sa vzťahuje len na nás: nemôže a neoprávňuje vás konať proti tretej strane, inému zákazníkovi alebo systémom ktorejkoľvek inej osoby.

Používajte iba prihlasovacie údaje a účty, ktoré vlastníte alebo máte explicitné povolenie testovať, a vytvorte si vlastný bezplatný workspace namiesto skúmania cudzieho. Nepristupujte, neupravujte, nekopírujte, neexfiltrujte ani ničte údaje, ktoré nie sú vaše, a ak narazíte na údaje zákazníka omylom, prestaňte, neukladajte ich a okamžite nám povedzte, čo ste videli, aby sme mohli posúdiť expozíciu. Nezhoršujte dostupnosť ani nespúšťajte load, stress alebo denial of service testy. Nepoužívajte nález na získanie väčšieho prístupu, než potrebujete na jeho demonštráciu, a neudržujte perzistenciu. Nevydierajte a nespájajte zverejnenie s platbou. Nepublikujte predtým, než to umožňuje klauzula 04. Dodržiavajte platné zákony a akékoľvek exportné kontroly alebo sankčné obmedzenia, ktoré sa na vás vzťahujú.

V súčasnosti nemáme platený bug bounty program. To, čo ponúkame, je rýchla, ľudská odpoveď, uvedenie vo verejnom uznaní, ak si to želáte, písomná referencia za vážne nálezy a vyššie uvedený bezpečný prístav. Ak spustíme platený program, pred prijatím prvého hlásenia tu zverejníme rozsah a sumy.

Nebudeme od vás vyžadovať podpis dohody o mlčanlivosti ako podmienku prijatia vášho hlásenia a nebudeme používať formulár na odoslanie hlásenia ako spôsob, ako vás zaväzať k mlčaniu. Nebudeme vám hroziť za hlásenie, ktoré sa ukáže ako nízkej závažnosti alebo duplicitné. Nenahlásime vás vášmu zamestnávateľovi, univerzite ani platforme. Ak nesúhlasíme s vaším hodnotením závažnosti, vysvetlíme prečo, namiesto uzavretia vlákna.

Zákazník, ktorý nájde zraniteľnosť počas používania produktu, je pokrytý touto politikou a jej bezpečným prístavom a nahlásenie nie je nikdy porušením Zásad prijateľného používania. Nahláste ju na bezpečnostnú adresu, nie cez bežnú podporu, aby sa dostala k správnym ľuďom bez čakania v rade. Ak je to možné, netestujte na produkčných dátach patriacich vašim koncovým používateľom.

Na stránke o bezpečnosti uvádzame veci, ktoré sme zámerne nevybudovali, aby sa o nich recenzent alebo výskumník dozvedel od nás, a nie až počas due diligence: živé zväzky nie sú šifrované na disku, auditný log je na aplikačnej vrstve iba na pripisovanie a nemá reťazec hashov ani podpis, nemáme širokú politiku zabezpečenia obsahu a v súčasnosti nemáme žiadnu bezpečnostnú certifikáciu od tretej strany. Zverejňovanie našich vlastných medzier je najlacnejšia forma úprimnosti v biznise a ušetrí každému týždeň.

Bezpečnostné hlásenia a otázky týkajúce sa tejto zásady smerujte na security@transglot.ai. Všetko, čo nie je bezpečnostným problémom, vrátane zneužívania a autorských práv, smerujte na hello@transglot.ai. Ochrana súkromia a údajov smeruje na privacy@transglot.ai.