Nghiên cứu thiện chí không bao giờ đối mặt với luật sư.

Nghiên cứu bảo mật giúp sản phẩm an toàn hơn, và chúng tôi muốn nhận được báo cáo trước khi nó rơi vào tay kẻ tấn công. Nếu bạn tuân thủ chính sách này, chúng tôi sẽ: xác nhận báo cáo của bạn nhanh chóng, phối hợp với bạn để hiểu và xác minh vấn đề, cập nhật tiến độ cho bạn trong quá trình sửa lỗi, ghi nhận công lao nếu bạn muốn, và không khởi kiện hoặc hỗ trợ hành động pháp lý chống lại bạn cho hoạt động nghiên cứu này. Cam kết cuối cùng là trọng tâm của tài liệu này, và điều khoản 07 nêu rõ chi tiết.

Gửi email tới security@transglot.ai. Bao gồm những gì bạn đã tìm thấy, vị trí tìm thấy, các bước để tái hiện lỗi, những gì kẻ tấn công có thể làm với nó, và bất kỳ thông tin nào giúp chúng tôi xác nhận: yêu cầu và phản hồi, video ngắn, bằng chứng khái niệm (PoC). Cho chúng tôi biết nếu bạn muốn được ghi nhận công lao và dưới tên nào. Vui lòng viết bằng tiếng Anh nếu có thể. Nếu bạn muốn mã hóa báo cáo, hãy yêu cầu trong tin nhắn đầu tiên và chúng tôi sẽ trao đổi khóa. Chúng tôi cũng xuất bản tệp security.txt với cùng địa chỉ, để máy quét tự động trỏ đến hộp thư do con người kiểm soát.

Chúng tôi xác nhận báo cáo trong vòng ba ngày làm việc. Chúng tôi đưa ra đánh giá sơ bộ, bao gồm khả năng tái hiện và mức độ nghiêm trọng, trong vòng mười ngày làm việc. Chúng tôi sẽ thông báo cho bạn khi bản sửa lỗi được phát hành và thường sẽ hoàn thành bản sửa cho các vấn đề nghiêm trọng hoặc nguy cấp trong vòng chín mươi ngày kể từ khi xác minh, nhanh hơn nếu rủi ro đang hoạt động. Nếu bản sửa lỗi mất nhiều thời gian hơn, chúng tôi sẽ giải thích lý do thay vì im lặng. Chúng tôi sẽ thông báo cho bạn trước khi công khai bất kỳ thông tin nào về vấn đề này, và sẽ không công bố tên của bạn nếu không có sự đồng ý.

Vui lòng chờ chín mươi ngày kể từ báo cáo đầu tiên trước khi công bố chi tiết, và kéo dài thời gian này nếu có thỏa thuận khi bản sửa lỗi thực sự phức tạp hoặc yêu cầu khách hàng phải thực hiện hành động. Chúng tôi sẽ không sử dụng khoảng thời gian này để che giấu vấn đề: chúng tôi sẽ cập nhật cho bạn, và nếu không thể sửa chữa, chúng tôi cũng sẽ thông báo, và sẽ không phản đối việc công bố sau khi hết thời hạn. Nếu vấn đề đang bị khai thác tích cực, hãy thông báo ngay lập tức và chúng tôi sẽ xử lý với tốc độ tương ứng. Chúng tôi sẵn sàng phối hợp thông báo chung và yêu cầu CVE nếu phù hợp.

Ứng dụng web sản xuất và trang marketing trên tên miền của chúng tôi, API REST công khai, điểm phân phối nội dung, trình soạn thảo trong ngữ cảnh và các bề mặt nhúng, các gói client được công bố, cơ chế webhook và ký số, quy trình xác thực và đăng nhập một lần (SSO), và cơ sở hạ tầng công khai khi có thể truy cập từ internet. Các báo cáo về quyết định thiết kế đã được chúng tôi ghi nhận là sự đánh đổi có chủ đích, chẳng hạn như bộ nhớ dịch thuật khớp chính xác chia sẻ hoặc việc thiếu mã hóa ở cấp độ ổ đĩa trên các ổ lưu trữ trực tiếp, được chào đón như những ý kiến đóng góp nhưng không được coi là lỗ hổng bảo mật: chúng được nêu rõ trên trang bảo mật để nhà nghiên cứu không mất thời gian chứng minh những điều chúng tôi đã công khai.

Bất kỳ hệ thống nào không do chúng tôi vận hành, bao gồm website của khách hàng, tích hợp bên thứ ba và bất kỳ hệ thống nào truy cập qua connector. Từ chối dịch vụ (DoS), kiểm tra cạn kiệt tài nguyên hoặc băng thông, và bất kỳ hoạt động nào làm suy giảm dịch vụ cho người dùng khác. Tấn công kỹ thuật xã hội, lừa đảo (phishing), hoặc tấn công vật lý nhằm vào nhân viên, văn phòng hoặc nhà cung cấp của chúng tôi. Thư rác và các báo cáo được tạo bởi máy quét tự động mà không có phân tích kèm theo. Các phát hiện chỉ là thiếu header theo chuẩn tốt nhất, cờ cookie không có tác động demonstrable, thư viện cũ không có đường dẫn khai thác, giới hạn tốc độ bạn tìm thấy bằng cách vượt quá nó, lỗi XSS tự gây ra, báo cáo clickjacking trên trang không có hành động nhạy cảm, hoặc việc thiếu chính sách bảo mật nội dung rộng rãi, vốn đã được chúng tôi ghi nhận là điểm hạn chế. Lỗ hổng yêu cầu truy cập vật lý vào thiết bị đã mở khóa của nạn nhân, hoặc yêu cầu xâm nhập quyền root vào máy của nạn nhân.

Nếu bạn nỗ lực thiện chí tuân thủ chính sách này trong quá trình nghiên cứu, chúng tôi sẽ coi nghiên cứu của bạn là được ủy quyền, phối hợp với bạn để hiểu và giải quyết vấn đề nhanh chóng, và sẽ không khuyến nghị hoặc theo đuổi hành động pháp lý chống lại bạn, bao gồm cả các luật về lạm dụng máy tính, chống hack, chống lách biện pháp bảo vệ hoặc luật hợp đồng, cũng như bất kỳ khiếu nại nào dựa trên Chính sách Sử dụng Chấp nhận được hoặc Điều khoản Dịch vụ mà hoạt động kiểm tra của bạn có thể vi phạm. Nếu bên thứ ba khởi kiện bạn vì nghiên cứu thực hiện theo chính sách này, chúng tôi sẽ tuyên bố rằng hoạt động của bạn đã được ủy quyền. Vùng an toàn này chỉ giới hạn ở chúng tôi: nó không và không thể ủy quyền cho bạn hành động chống lại bên thứ ba, khách hàng khác, hoặc hệ thống của bất kỳ ai khác.

Chỉ sử dụng tài khoản đăng nhập và Tài khoản mà bạn sở hữu hoặc có sự cho phép rõ ràng để kiểm tra, và tạo không gian làm việc miễn phí của riêng bạn thay vì thăm dò của người khác. Không truy cập, sửa đổi, sao chép, đánh cắp hoặc phá hủy dữ liệu không thuộc về bạn, và nếu vô tình gặp dữ liệu khách hàng, hãy dừng lại, không lưu trữ và thông báo ngay cho chúng tôi những gì bạn đã thấy để chúng tôi đánh giá mức độ phơi nhiễm. Không làm suy giảm khả năng sẵn sàng hoặc chạy kiểm tra tải, stress hoặc từ chối dịch vụ. Không sử dụng phát hiện để giành quyền truy cập sâu hơn mức cần thiết để chứng minh, và không duy trì quyền truy cập lâu dài. Không tống tiền, và không điều kiện hóa việc công bố dựa trên thanh toán. Không công bố trước khi điều khoản 04 cho phép. Tuân thủ luật pháp hiện hành và bất kỳ hạn chế kiểm soát xuất khẩu hoặc cấm vận nào áp dụng cho bạn.

Hiện tại không có chương trình thưởng cho lỗi bảo mật. Những gì chúng tôi cung cấp là phản hồi nhanh chóng từ con người, ghi nhận công khai nếu bạn muốn, thư giới thiệu bằng văn bản cho các phát hiện nghiêm trọng và vùng an toàn như đã nêu ở trên. Nếu chúng tôi khởi động chương trình trả phí, chúng tôi sẽ công bố phạm vi và mức thưởng tại đây trước khi nhận báo cáo đầu tiên.

Chúng tôi sẽ không yêu cầu bạn ký thỏa thuận bảo mật (NDA) như một điều kiện để nhận báo cáo của bạn, và chúng tôi sẽ không sử dụng biểu mẫu gửi báo cáo như một cách để ràng buộc bạn phải giữ im lặng. Chúng tôi sẽ không đe dọa bạn nếu báo cáo hóa ra có mức độ nghiêm trọng thấp hoặc bị trùng lặp. Chúng tôi sẽ không báo cáo bạn với nhà tuyển dụng, trường đại học hoặc nền tảng mà bạn đang sử dụng. Nếu chúng tôi không đồng ý với đánh giá mức độ nghiêm trọng của bạn, chúng tôi sẽ giải thích lý do thay vì đóng luồng thảo luận.

Khách hàng phát hiện ra lỗ hổng bảo mật trong quá trình sử dụng sản phẩm được bảo vệ bởi chính sách này và quy định vùng an toàn (safe harbour), và việc báo cáo không bao giờ vi phạm Chính sách Sử dụng Chấp nhận được. Vui lòng báo cáo qua địa chỉ email bảo mật thay vì qua kênh hỗ trợ thông thường, để thông tin đến đúng người phụ trách mà không phải xếp hàng chờ đợi. Không thử nghiệm với dữ liệu sản xuất thuộc về người dùng cuối của chính bạn nếu có thể tránh được.

Trang bảo mật liệt kê những tính năng chúng tôi cố tình chưa xây dựng, để người đánh giá hoặc nhà nghiên cứu biết từ chúng tôi thay vì phải tự tìm hiểu: các ổ đĩa lưu trữ trực tiếp không được mã hóa, nhật ký kiểm tra (audit log) chỉ cho phép ghi thêm ở tầng ứng dụng và không có chuỗi băm hoặc chữ ký số, không có chính sách bảo mật nội dung (CSP) rộng rãi, và hiện tại chúng tôi không có chứng nhận bảo mật bên thứ ba nào. Việc tự công bố những điểm hạn chế của mình là cách trung thực nhất và tiết kiệm thời gian cho tất cả mọi người.

Báo cáo bảo mật và câu hỏi về chính sách này xin gửi tới security@transglot.ai. Mọi vấn đề không liên quan đến bảo mật, bao gồm lạm dụng và bản quyền, xin gửi tới hello@transglot.ai. Các vấn đề về quyền riêng tư và bảo vệ dữ liệu xin gửi tới privacy@transglot.ai.