Saugumas
Pranešti apie saugumo pažeidžiamumą
Jei radote silpnąją vietą euphile.eu ar viename iš platformos produktų, praneškite mums. Perskaitome kiekvieną pranešimą, atsakome kiekvienam pranešėjui ir, kai problema ištaisoma, pripažįstame jūsų indėlį.
Jūsų pranešimas
Laukai, pažymėti *, yra privalomi. Jei galite, rašykite angliškai. Pranešimus skaitome ir visomis ES kalbomis.
Taisyklės
Ką galite testuoti
- euphile.eu ir visos paslaugos euphile.eu domene: programos, administravimo konsolės ir API.
- Dešimt platformos produktų, įskaitant jų darbalaukio programas ir papildinius, naujausios išleistos versijos.
- Bet kuri kita mūsų valdoma sistema, kurioje saugomi klientų duomenys.
Kas nepatenka į taikymo sritį
- Paslaugos, kurias valdo trečiosios šalys, o mes jomis tik naudojamės. Apie jas praneškite jų savininkams.
- Paslaugos trikdymo atakos, apkrovos testai ir bet kokie testai, kurie sulėtina ar sutrikdo paslaugą kitiems.
- Socialinė inžinerija, sukčiavimas (phishing) ir fizinės atakos prieš mūsų darbuotojus, klientus ar biurus.
- Automatinių skenerių rezultatai be įrodyto, išnaudojamo poveikio.
- Trūkstamos saugumo antraštės, slapukų atributai ar el. pašto autentifikavimo įrašai, nebent parodote konkrečią ataką.
- Self-XSS, spustelėjimų užgrobimas (clickjacking) puslapiuose be jautrių veiksmų ir programinės įrangos versijų atskleidimas.
- Raginimai, dėl kurių DI modelis pasako ką nors nepageidaujamo, nebent jie peržengia saugumo ribą: kito kliento duomenys, paslaptis ar veiksmas, kurio naudotojui neleidžiama atlikti.
Kaip testuoti
- Naudokite tik savo paskyras arba paskyras, kurių savininkas jums davė rašytinį leidimą.
- Jei pasiekiate ne jums priklausančius duomenis, sustokite. Nekopijuokite, nesaugokite ir neplatinkite jų, ir nurodykite tai savo pranešime.
- Darykite tik tai, kas būtina problemai įrodyti: nieko nekeiskite ir netrinkite, nekurkite nuolatinės prieigos ir nesiskverbkite į kitas sistemas.
- Automatinis srautas turi būti mažesnis nei 5 užklausos per sekundę.
- Niekam neatskleiskite išsamios informacijos, kol neišleisime pataisymo arba kol nuo jūsų pranešimo nepraeis 90 dienų, priklausomai nuo to, kas įvyks anksčiau. Galime kartu susitarti dėl kitos datos.
- Nereikalaukite užmokesčio už neatskleidimą. Tai turto prievartavimas, o ne tyrimas.
Ką įsipareigojame
- Gavimą patvirtiname per 2 darbo dienų laikotarpį.
- Pirminį vertinimą su mūsų nustatytu kritiškumo lygiu atsiunčiame per 5 darbo dienų laikotarpį.
- Informuojame jus bent kartą per mėnesį, kol problema bus išspręsta.
- Pranešame jums, kai pataisymas išleidžiamas, ir kartu su jumis susitariame, kada paskelbti saugumo biuletenį.
- Jums sutikus, nurodome jūsų vardą saugumo biuletenyje ir padėkose.
Teisinė apsauga (safe harbour)
- Jei veikiate sąžiningai ir laikotės šių taisyklių, jūsų tyrimą laikome leistinu. Dėl jo nesiimsime prieš jus teisinių veiksmų ir neremsime nė vieno, kuris jų imtųsi.
- Jei trečioji šalis imasi veiksmų prieš jus dėl tyrimo, atlikto laikantis šių taisyklių, paskelbsime, kad jūsų tyrimas buvo leistinas.
- Tai taikoma sistemoms, kurios priklauso mums ir kurias valdome. Negalime leisti testuoti sistemų, kurios priklauso kitiems.
Atlygis
- Jums sutikus, pripažįstame kiekvieną pagrįstą pranešimą.
- Už originalų aukšto ar kritinio kritiškumo lygio radinį galime pasiūlyti piniginį atlygį. Ar jį siūlyti ir kokio dydžio, sprendžiame pagal poveikį ir pranešimo kokybę. Atlygis negarantuojamas.
- Kai apie tą pačią problemą praneša keli žmonės, įskaitomas pirmasis išsamus pranešimas.
- Negalime mokėti atlygio, kai tai draudžia įstatymai, ar asmeniui, pažeidusiam šias taisykles.