Добросовісні дослідження ніколи не зустрічають погрози судом.

Дослідження безпеки роблять продукт безпечнішим, і ми хочемо, щоб звіт потрапив до нас раніше, ніж до зловмисника. Якщо ви дотримуєтеся цієї політики, ми: швидко підтвердимо отримання вашого звіту, співпрацюватимемо з вами для розуміння та перевірки проблеми, інформуватимемо вас про процес виправлення, зазначимо ваше авторство, якщо ви цього бажаєте, і не будемо ініціювати чи підтримувати юридичні дії проти вас за проведення дослідження. Саме ця остання обіцянка є головною метою цього документу, і пункт 07 формулює її чітко.

Напишіть на security@transglot.ai. Вкажіть, що саме ви знайшли, де, кроки для відтворення, що може зробити зловмисник, використовуючи цю вразливість, та будь-які дані, які допоможуть нам підтвердити проблему: запит і відповідь, коротке відео, доказ концепції. Повідомте, чи хочете ви, щоб вас зазначили як автора, і під яким ім’ям. Пишіть англійською, якщо можете. Якщо хочете зашифрувати звіт, запитайте про це в першому повідомленні, і ми обміняємося ключами. Ми також публікуємо файл security.txt із тією ж адресою, тому автоматизовані сканери спрямовуватимуть запити в поштову скриньку, яку читає людина.

Ми підтверджуємо отримання звіту протягом трьох робочих днів. Протягом десяти робочих днів надаємо початкову оцінку, включно з тим, чи можемо ми відтворити проблему, та як ми її класифікували. Ми повідомляємо вам, коли випущено виправлення, і зазвичай випускаємо його для високих або критичних проблем протягом дев’яноста днів після підтвердження, а якщо ризик активний — швидше. Якщо виправлення займе більше часу, ми пояснимо чому, а не замовкнемо. Ми попередимо вас перед публікацією будь-якої інформації про проблему і не оприлюднюватимемо ваше ім’я без вашої згоди.

Будь ласка, надайте нам дев’яносто днів від моменту вашого першого звіту перед публікацією деталей, або більше за домовленістю, якщо виправлення справді складне або вимагає дій від клієнта. Ми не використаємо цей період, щоб приховати проблему: ми будемо тримати вас в курсі подій, і якщо не зможемо її виправити, також повідомимо про це, і не заперечуватимемо проти публікації після закінчення терміну. Якщо проблему активно експлуатують, негайно повідомте нам, і ми діятимемо відповідно до терміновості ситуації. Ми готові координувати спільне advisory та запитувати CVE, де це доречно.

Виробничий вебдодаток і маркетинговий сайт на наших власних доменах, публічний REST API, точка доставки, контекстний редактор та його вбудовані поверхні, наші опубліковані клієнтські пакети, доставка та підписання вебхуків, наші потоки автентифікації та єдиного входу (SSO), а також наша публічна інфраструктура, доступна з інтернету. Звіти про проектні рішення, які ми задокументували як свідомий компроміс, такі як спільний пул пам’яті перекладів із точним збігом або відсутність шифрування на рівні диска для живих томів, вітаються як аргументи, але не є вразливостями: вони зазначені на сторінці безпеки саме для того, щоб дослідник не витрачав півдня, доводячи те, що ми вже опублікували.

Усе, чим ми не керуємо, включно з власними вебсайтами клієнтів, інтеграціями третіх сторін та будь-якими системами, до яких здійснюється доступ через конектор. Відмова в обслуговуванні, тестування на виснаження ресурсів або об’ємні атаки, а також будь-які дії, що погіршують роботу сервісу для інших користувачів. Соціальна інженерія, фішинг або фізичні спроби впливу на наших співробітників, офіси чи постачальників. Спам і звіти, створені автоматизованим сканером без аналізу. Знахідки, які є лише відсутністю заголовка найкращих практик, прапорцем cookie без демонстрованого впливу, застарілою бібліотекою без шляху експлуатації, обмеженням швидкості, виявленим шляхом перевищення, самостійно спричиненим міжсайтовим скриптінгом (XSS), звітом про клікджекінг на сторінці без чутливих дій, або відсутністю загальної політики безпеки контенту, яку ми вже документуємо як прогалину. Вразливості, що вимагають фізичного доступу до розблокованого пристрою жертви або компрометації на рівні root власної машини жертви.

Якщо ви сумлінно намагаєтеся дотримуватися цієї політики під час свого дослідження, ми вважатимемо ваше дослідження авторизованим, співпрацюватимемо з вами для швидкого розуміння та вирішення проблеми і не будемо рекомендувати чи ініціювати юридичні дії проти вас, включно згідно із законами про неправомірне використання комп’ютерів, антихакерським законодавством, законами проти обходу захисту або контрактним правом, а також будь-які претензії згідно з Політикою прийнятного використання або Умовами надання послуг, які ваше тестування інакше порушувало б. Якщо третя сторона подасть позов проти вас за дослідження, проведені згідно з цією політикою, ми повідомимо, що ваші дії були авторизовані. Це безпечне середовище обмежується нами: воно не може і не дозволяє вам діяти проти третіх сторін, інших клієнтів або систем будь-кого іншого.

Використовуйте лише логіни та облікові записи, які належать вам або на тестування яких ви маєте явний дозвіл, і створюйте власний безкоштовний робочий простір, а не досліджуйте чужий. Не отримуйте доступ, не змінюйте, не копіюйте, не викрадайте та не знищуйте дані, які не належать вам, і якщо випадково натрапите на дані клієнта, зупиніться, не зберігайте їх і негайно повідомте нам, що саме ви побачили, щоб ми могли оцінити ризики. Не погіршуйте доступність і не проводьте тестів навантаження, стрес-тестів або тестів на відмову в обслуговуванні. Не використовуйте знахідку для отримання більшого доступу, ніж потрібно для її демонстрації, і не підтримуйте постійний доступ. Не вимагайте викуп і не ставте розкриття в залежність від оплати. Не публікуйте інформацію до дозволу згідно з пунктом 04. Дотримуйтеся чинного законодавства та будь-яких обмежень експортного контролю або санкцій, що застосовуються до вас.

На сьогодні платної програми винагород за помилки немає. Те, що ми пропонуємо, — це швидка реакція живої людини, зазначення вашого авторства в публічному визнанні, якщо ви цього бажаєте, письмова рекомендація для серйозних знахідок та вищезгадане безпечне середовище. Якщо ми запустимо платну програму, ми опублікуємо її охоплення та діапазони винагород тут, перш ніж приймати перші заявки.

Ми не вимагатимемо від вас підписання угоди про нерозголошення як умови отримання вашого звіту і не використовуватимемо форму подання звіту як спосіб змусити вас мовчати. Ми не погрожуватимемо вам за звіт, який виявиться низького рівня серйозності або дублікатом. Ми не повідомлятимемо про вас вашому роботодавцю, університету чи платформі. Якщо ми не погоджуємося з вашою оцінкою серйозності, ми пояснимо чому, а не просто закриємо тему.

Клієнт, який виявляє вразливість під час використання продукту, захищений цією політикою та її положеннями про безпечне середовище, а повідомлення про неї ніколи не є порушенням Політики прийнятного використання. Повідомляйте про це на адресу служби безпеки, а не через звичайну підтримку, щоб інформація швидко дійшла до потрібних фахівців без черги. Не тестуйте з виробничими даними своїх кінцевих користувачів, якщо цього можна уникнути.

На сторінці безпеки ми навмисно зазначаємо те, що ще не реалізовано, щоб рецензенти чи дослідники дізнавалися про це від нас, а не під час перевірки: живі томи не мають шифрування диска, журнал аудиту доступний лише для додавання на рівні додатка і не має ланцюжка хешів або підпису, немає загальної політики безпеки контенту, і на сьогодні ми не маємо сертифікації безпеки від третіх сторін. Публікація наших власних прогалин — це найдешевший спосіб бути чесними в бізнесі, який економить усім тиждень часу.

Звіти про безпеку та запитання щодо цієї політики надсилайте на security@transglot.ai. Усе, що не стосується безпеки, включно зі зловживаннями та авторським правом, направляйте на hello@transglot.ai. Питання конфіденційності та захисту даних — на privacy@transglot.ai.