Saugumo spragų atskleidimo programa
LiveAgent siekia užtikrinti savo paslaugų saugumą visiems, o duomenų saugumas yra itin svarbus. Mūsų Saugumo spragų atskleidimo programa skirta sumažinti bet kokių saugumo trūkumų poveikį mūsų įrankiams ar jų naudotojams. LiveAgent Saugumo spragų atskleidimo programa apima programinę įrangą, kuri yra iš dalies arba pilnai sukurta Quality Unit.
Jei esate saugumo tyrėjas ir pastebėjote saugumo spragą mūsų paslaugoje, vertiname jūsų pagalbą privačiai apie ją pranešant ir suteikiant mums galimybę ją ištaisyti prieš paskelbiant technines detales.
LiveAgent bendradarbiaus su saugumo tyrėjais, kai apie spragas bus pranešta, kaip aprašyta čia. Mes patvirtinsime, atsakysime ir ištaisysime spragas, siekdami savo įsipareigojimo saugumui ir privatumui. Mes nesiimsime teisinių veiksmų, nesustabdysime ar nenutrauksime paslaugos prieigos tiems, kurie atsakingai aptinka ir praneša apie saugumo spragas. LiveAgent pasilieka visas teisines teises nesilaikymo atveju.
Pranešimas
Pasidalinkite įtariamų spragų detalėmis su LiveAgent kūrėjų komanda el. paštu support@liveagent.com . Prašome neviešinti šios informacijos už šio proceso ribų be aiškaus leidimo.
Pranešdami apie įtariamą spragą, pateikite kuo daugiau informacijos. Jei norite pateikti kelis pranešimus, pateikite tik vieną pranešimą (jei įmanoma, svarbiausią) ir palaukite atsakymo.
Atlygis
Džiaugiamės galėdami pasiūlyti atlygį už spragos informaciją, kuri padeda apsaugoti mūsų klientus, kaip padėką saugumo tyrėjams, dalyvaujantiems mūsų bug bounty programoje. Įprastas atlygis yra 100 JAV dolerių už kiekvieną spragą, kurią pateikia ir patvirtina mūsų kūrėjų komanda.
Atlygį gaus tik pirmasis apie spragą pranešęs asmuo. Pasikartojantys pranešimai nebus apdovanoti.
Apimtis
Galite testuoti tik su LiveAgent paskyra, kurios esate savininkas arba esate paskyros savininko įgaliotas agentas tokiems testams atlikti. Pavyzdžiui:
- jūsųdomenas.ladesk.com
Apdovanojamos spragų rūšys
Atlygį gausite už šių tipų saugumo spragas:
- Nuotolinis komandų vykdymas (RCE)
- SQL injekcija
- Sugedusi autentifikacija
- Sugedęs sesijų valdymas
- Prieigos valdymo apeinimas
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Atviro URL peradresavimas
- Katalogų naršymas (Directory Traversal)
Pastaba: Atvejai, kai atakuotojas gali pakenkti tik savo paskyrai su administratoriaus teisėmis, nebus apdovanojami. XSS, sukeltas administratoriaus, nebus apdovanotas.
Kad būtų galima pretenduoti į atlygį, spraga turi egzistuoti naujausioje viešoje programinės įrangos versijoje (įskaitant oficialiai išleistas viešas beta versijas). Tik saugumo spragos bus tinkamos atlygį gauti. Norėtume, kad apie kitus trūkumus taip pat praneštumėte per atitinkamus kanalus, tačiau šios programos tikslas yra ištaisyti saugumo spragas, todėl tik klaidos, sukeliančios saugumo spragas, bus tinkamos atlygiam. Kiti trūkumai bus priimami mūsų nuožiūra.
Gairės
Norėdami pretenduoti į atlygį pagal šią atskleidimo programą, laikykitės šių gairių:
- Neatidarykite, nemodifikuokite ar nenaikinkite LiveAgent saugomų duomenų visam laikui.
- Neprieikite prie neskelbtinų LiveAgent duomenų daugiau nei būtina siekiant parodyti spragą.
- Nevykdykite DDoS ar kitokių veiksmų, kurie trukdytų, pertrauktų ar blogintų mūsų vidines ar išorines paslaugas.
- Nesidalinkite konfidencialia informacija, gauta iš LiveAgent, įskaitant, bet neapsiribojant nario ar aukotojo mokėjimo informacija, su trečiosiomis šalimis.
- Socialinė inžinerija yra už programos ribų. Nesiųskite phishing el. laiškų ar nenaudokite kitų socialinės inžinerijos metodų prieš bet ką, įskaitant QualityUnit darbuotojus, narius, tiekėjus ar partnerius.
Taip pat, prieš viešai aptariant ar rašant apie spragą, suteikite mums bent 90 dienų jai ištaisyti. Mūsų komanda tiki, kad saugumo tyrėjai turi teisę pranešti apie savo tyrimus ir kad atskleidimas yra labai naudingas, taip pat supranta, kad klausimas, kada ir kaip sulaikyti detales siekiant sumažinti piktnaudžiavimo riziką, yra labai subjektyvus. Jei manote, kad ankstesnis atskleidimas būtinas, prašome mums pranešti, kad galėtume pradėti pokalbį.
Pakeitimų žurnalas
Apie visas ištaisytas saugumo problemas viešai informuojame savo pakeitimų žurnale . Saugumo susijusios problemos pažymimos žyma [Security].
