نیک نیتی کی تحقیق کا سامنا وکیلوں سے نہیں ہوتا۔

سیکیورٹی تحقیق پروڈکٹ کو زیادہ محفوظ بناتی ہے، اور ہم چاہتے ہیں کہ رپورٹ کسی حملہ آور تک پہنچنے سے پہلے ہم تک پہنچے۔ اگر آپ اس پالیسی کی پیروی کرتے ہیں، تو ہم: آپ کی رپورٹ کی فوری تصدیق کریں گے، اسے سمجھنے اور درست ثابت کرنے کے لیے آپ کے ساتھ کام کریں گے، اسے ٹھیک کرتے ہوئے آپ کو مطلع رکھیں گے، اگر آپ چاہیں تو آپ کو کریڈٹ دیں گے، اور تحقیق کے حوالے سے آپ کے خلاف قانونی اقدام نہیں کریں گے یا اس کی حمایت نہیں کریں گے۔ یہ آخری عہد اس دستاویز کا مرکزی نکتہ ہے، اور شق 07 اسے واضح الفاظ میں بیان کرتی ہے۔

security@transglot.ai پر ای میل کریں۔ اس میں شامل کریں کہ آپ نے کیا پایا، کہاں پایا، اسے دوبارہ پیدا کرنے کے مراحل، ایک حملہ آور اس کے ساتھ کیا کر سکتا ہے، اور وہ تمام چیزیں جو ہمیں اس کی تصدیق میں مدد دیں: درخواست اور جواب، ایک مختصر ویڈیو، یا ثبوتِ تصور (proof of concept)۔ ہمیں بتائیں کہ اگر آپ کریڈٹ لینا چاہتے ہیں تو کن نام کے تحت۔ اگر ممکن ہو تو انگریزی میں لکھیں۔ اگر آپ رپورٹ کو انکرپٹ کرنا چاہتے ہیں، تو پہلے پیغام میں درخواست کریں اور ہم کلید کا تبادلہ کریں گے۔ ہم اسی ایڈریس کے ساتھ security.txt فائل بھی شائع کرتے ہیں، تاکہ خودکار اسکینر اس میل باکس کی طرف اشارہ کرے جسے کوئی شخص پڑھتا ہے۔

ہم تین کاروباری دنوں کے اندر رپورٹ کی وصولی کی تصدیق کرتے ہیں۔ ہم دس کاروباری دنوں کے اندر ابتدائی تشخیص فراہم کرتے ہیں، جس میں یہ بھی شامل ہوتا ہے کہ آیا ہم اسے دوبارہ پیدا کر سکتے ہیں اور ہم نے اسے کس درجے کی اہمیت دی ہے۔ ہم آپ کو بتاتے ہیں کہ جب فکس جاری ہوتا ہے اور عام طور پر اعلیٰ یا تنقیدی مسئلے کے لیے ہم اس کی تصدیق کے نوے دنوں کے اندر فکس جاری کر دیتے ہیں، اگر خطرہ فعال ہو تو اس سے بھی تیزی سے۔ اگر فکس میں زیادہ وقت لگنے والا ہے تو ہم خاموش رہنے کے بجائے آپ کو وجہ بتاتے ہیں۔ ہم مسئلے کے بارے میں کچھ بھی شائع کرنے سے پہلے آپ کو بتائیں گے، اور بغیر پوچھے آپ کا نام شائع نہیں کریں گے۔

براہِ کرم تفصیلات شائع کرنے سے پہلے اپنی پہلی رپورٹ سے نوے دن دیں، اور اگر فکس واقعی پیچیدہ ہے یا اگر فکس کے لیے صارف کی کارروائی ضروری ہے تو باہمی رضامندی سے اس مدت کو بڑھائیں۔ ہم اس مدت کا استعمال مسئلے کو دفن کرنے کے لیے نہیں کریں گے: ہم آپ کو اپ ڈیٹ رکھیں گے، اور اگر ہم اسے ٹھیک نہیں کر سکتے تو ہم آپ کو یہ بھی بتائیں گے، اور مدت ختم ہونے کے بعد اشاعت کی مخالفت نہیں کریں گے۔ اگر کسی مسئلے کا فعال استحصال ہو رہا ہے، تو فوراً ہمیں بتائیں اور ہم اسی رفتار سے کام کریں گے۔ ہم مشترکہ ایڈوائزری کوآرڈینیٹ کرنے اور جہاں مناسب ہو CVE کی درخواست کرنے میں خوشی محسوس کرتے ہیں۔

ہمارے اپنے ڈومینز پر پروڈکشن ویب ایپلی کیشن اور مارکیٹنگ سائٹ، پبلک REST API، ڈیلیوری اینڈ پوائنٹ، ان-کنٹیکسٹ ایڈیٹر اور اس کی ایمبیڈ سطوح، ہمارے شائع شدہ کلائنٹ پیکجز، ہمارے ویب ہُک ڈیلیوری اور سائننگ، ہمارے آتھنٹیکیشن اور سنگل سائن آن فلوز، اور ہماری پبلک انفرااسٹرکچر جیسا کہ یہ انٹرنیٹ سے قابلِ رسائی ہے۔ ڈیزائن کے فیصلے کے بارے میں رپورٹس جنہیں ہم نے جان بوجھ کر تجارتی مفاہمت کے طور پر دستاویزی شکل دی ہے، جیسے کہ مشترکہ exac-match ترجمہ میموری پول یا لائیو والیومز پر ڈسک لیول انکرپشن کی عدم موجودگی، بطورِ دلائل خوش آمدید کہلاتی ہیں لیکن یہ کمزوریاں نہیں ہیں: یہ سیکیورٹی صفحے پر اس لیے درج ہیں تاکہ محقق کسی ایسی چیز کو ثابت کرنے میں اپنا دوپہر ضائع نہ کرے جو ہم پہلے ہی شائع کر چکے ہیں۔

کوئی بھی چیز جو ہماری زیرِ انتظام نہیں ہے، بشمول صارف کی اپنی ویب سائٹ، تھرڈ پارٹی انٹیگریشن، اور کسی کنیکٹر کے ذریعے پہنچنے والا کوئی بھی نظام۔ ڈینیل آف سروس، حجمی یا وسائل کے Exhaustion کی ٹیسٹنگ، اور وہ تمام چیزیں جو دیگر صارفین کے لیے سروس کو کمزور کرتی ہیں۔ سوشل انجینئرنگ، فشنگ، یا ہمارے عملے، ہمارے دفاتر یا ہمارے سپلائرز کے خلاف جسمانی کوششیں۔ اسپیم، اور خودکار اسکینر کے ذریعے تیار کردہ رپورٹس جن کے ساتھ کوئی تجزیہ منسلک نہ ہو۔ ایسی دریافتیں جو صرف ایک گمشدہ بہترین طرزِ عمل ہیڈر، کوئی ظاہر شدہ اثر کے بغیر کوکی فلیگ، کوئی قابلِ استحصال راستے کے بغیر پرانی لائبریری، اسے تجاوز کر کے پایا گیا ریٹ لمٹ، خود inflicted کراس سائٹ اسکرپٹنگ، کسی حساس عمل کے بغیر صفحے پر کلک جیکنگ رپورٹ، یا وسیع مواد سیکیورٹی پالیسی کی عدم موجودگی، جسے ہم پہلے ہی خلا کے طور پر دستاویزی شکل دے چکے ہیں۔ ایسی کمزوریاں جن کے لیے متاثرہ کے انلاک شدہ ڈیوائس تک جسمانی رسائی، یا متاثرہ کے اپنے مشین کے روٹ لیول کمپرومائز کی ضرورت ہو۔

اگر آپ اپنی تحقیق کے دوران اس پالیسی کی تعمیل کے لیے نیک نیتی سے کوشش کرتے ہیں، تو ہم آپ کی تحقیق کو مجاز سمجھیں گے، ہم مسئلے کو جلدی سمجھنے اور حل کرنے کے لیے آپ کے ساتھ کام کریں گے، اور ہم آپ کے خلاف قانونی اقدام کی سفارش یا پیروی نہیں کریں گے، بشمول کمپیوٹر کے غلط استعمال، اینٹی ہیکنگ، اینٹی سرکمونشن یا معاہدے کے قانون کے تحت، اور قابلِ قبول استعمال کی پالیسی یا شرائطِ خدمت کے تحت کوئی بھی دعویٰ جو آپ کی ٹیسٹنگ ورنہ خلاف ورزی شمار ہوتی۔ اگر کوئی تھرڈ پارٹی اس پالیسی کے تحت کی گئی تحقیق کے حوالے سے آپ کے خلاف کارروائی کرتا ہے، تو ہم یہ واضح کریں گے کہ آپ کی سرگرمیاں مجاز تھیں۔ یہ محفوظ ہاربر صرف ہم تک محدود ہے: یہ آپ کو تھرڈ پارٹی، کسی دیگر صارف، یا کسی اور کے نظاموں کے خلاف کارروائی کرنے کا اختیار نہیں دیتا۔

صرف ان لاگ انز اور اکاؤنٹس کا استعمال کریں جو آپ کے ہیں یا جنہیں ٹیسٹ کرنے کی آپ کو صریح اجازت ہے، اور کسی اور کی جگہ probing کرنے کے بجائے اپنا مفت ورک اسپیس بنائیں۔ ایسے ڈیٹا تک رسائی حاصل نہ کریں، اس میں تبدیلی نہ کریں، اس کی نقل نہ کریں، اسے خارج نہ کریں یا اسے تباہ نہ کریں جو آپ کا نہیں ہے، اور اگر اتفاقیہ طور پر صارف کا ڈیٹا مل جائے، تو رک جائیں، اسے محفوظ نہ کریں، اور فوراً ہمیں بتائیں کہ آپ نے کیا دیکھا تاکہ ہم نمائش کا جائزہ لے سکیں۔ دستیابی کو کمزور نہ کریں یا لوڈ، سٹریس یا ڈینیل آف سروس ٹیسٹ نہ چلائیں۔ کسی دریافت کا استعمال اسے ثابت کرنے کے لیے ضرورت سے زیادہ رسائی حاصل کرنے کے لیے نہ کریں، اور مستقل رسائی (persistence) برقرار نہ رکھیں۔ بلیک میل نہ کریں، اور افشاء کو ادائیگی سے مشروط نہ کریں۔ شق 04 کی اجازت سے پہلے اشاعت نہ کریں۔ قابلِ اطلاق قانون اور کسی بھی برآمدی کنٹرول یا پابندی کی پابندی کریں جو آپ پر لاگو ہوتی ہے۔

فی الحال کوئی باگ باؤنٹی پروگرام نہیں ہے۔ جو ہم پیش کرتے ہیں وہ ہے تیز، انسانی ردعمل، اگر آپ چاہیں تو عوامی اعتراف میں کریڈٹ، سنگین دریافتوں کے لیے تحریری حوالہ، اور اوپر مذکور محفوظ ہاربر۔ اگر ہم باقاعدہ ادائیگی والا پروگرام شروع کرتے ہیں تو ہم پہلی سبمیشن لینے سے پہلے اس کا دائرہ کار اور رینجز یہاں شائع کریں گے۔

ہم آپ سے آپ کی رپورٹ وصول کرنے کی شرط کے طور پر عدم افشاء کے معاہدے (NDA) پر دستخط کرنے کو نہیں کہیں گے، اور ہم رپورٹ جمع کروانے کے فارم کو آپ کو خاموش رہنے پر پابند کرنے کے طریقے کے طور پر استعمال نہیں کریں گے۔ ہم آپ کو اس رپورٹ کے لیے نہیں ڈرائیں گے جو کم سنگینی کی نکلتی ہے یا ڈپلیکیٹ ہوتی ہے۔ ہم آپ کو آپ کے employer، یونیورسٹی یا پلیٹ فارم کے پاس رپورٹ نہیں کریں گے۔ اگر ہم آپ کی سنگینی کی درجہ بندی سے متفق نہیں ہوتے تو ہم تھریڈ بند کرنے کے بجائے وجہ بتائیں گے۔

ایسا صارف جو پروڈکٹ استعمال کرتے ہوئے کوئی کمزوری (vulnerability) دریافت کرے، وہ اس پالیسی اور اس کے محفوظ ہاربر (safe harbour) کے تحت محفوظ ہے، اور اس کی رپورٹنگ قابلِ قبول استعمال کی پالیسی کی کبھی خلاف ورزی نہیں سمجھی جاتی۔ اسے عام سپورٹ کے بجائے سیکیورٹی ایڈریس پر رپورٹ کریں تاکہ یہ قطار میں رکے بغیر براہِ راست متعلقہ افراد تک پہنچ سکے۔ اگر ممکن ہو تو اپنے حتمی صارفین (end users) کے پروڈکشن ڈیٹا کے ساتھ ٹیسٹنگ نہ کریں۔

سیکیورٹی صفحے ان چیزوں کا نام لیتا ہے جو ہم نے جان بوجھ کر نہیں بنائیں، تاکہ کوئی جائزہ لینے والا یا محقق انہیں ہم سے سیکھے نہ کہ diligence کے دوران: لائیو والیومز ڈسک-انکرپٹڈ نہیں ہیں، آڈٹ لاگ ایپلی کیشن لیئر پر صرف شامل کرنے کے قابل (append-only) ہے اور اس میں کوئی ہیش چین یا دستخط نہیں ہے، کوئی وسیع مواد سیکیورٹی پالیسی نہیں ہے، اور فی الحال ہمارے پاس کوئی تھرڈ پارٹی سیکیورٹی سرٹیفیکیشن نہیں ہے۔ اپنی کمیوں کو شائع کرنا کاروبار میں سب سے سستی صداقت ہے اور یہ سب کا ایک ہفتہ بچا لیتی ہے۔

سیکیورٹی رپورٹس اور اس پالیسی کے بارے میں سوالات security@transglot.ai پر بھیجیں۔ جو کچھ بھی سیکیورٹی مسئلہ نہیں ہے، بشمول غلط استعمال اور کاپی رائٹ، وہ hello@transglot.ai پر جائے گا۔ پرائیویسی اور ڈیٹا پروٹیکشن کے معاملات privacy@transglot.ai پر جائیں گے۔