Bezpečnosť
Nahlásiť bezpečnostnú zraniteľnosť
Ak ste našli slabinu v euphile.eu alebo v niektorom z produktov platformy, dajte nám vedieť. Čítame každé hlásenie, odpovedáme každému, kto nám ho pošle, a po oprave problému vás uvedieme menom.
Vaše hlásenie
Polia označené * sú povinné. Ak môžete, píšte po anglicky. Hlásenia čítame aj vo všetkých jazykoch EÚ.
Pravidlá
Čo môžete testovať
- euphile.eu a všetky služby pod euphile.eu: aplikácie, administračné konzoly a API.
- Desať produktov platformy vrátane ich desktopových aplikácií a doplnkov, v najnovšej vydanej verzii.
- Akýkoľvek iný nami prevádzkovaný systém, ktorý uchováva údaje zákazníkov.
Čo je mimo rozsahu
- Služby, ktoré prevádzkujú tretie strany a my ich len používame. Tie nahláste ich vlastníkovi.
- Útoky typu odmietnutie služby, záťažové testy a akékoľvek testy, ktoré spomaľujú alebo prerušujú službu pre ostatných.
- Sociálne inžinierstvo, phishing a fyzické útoky na našich zamestnancov, zákazníkov alebo kancelárie.
- Výsledky automatických skenerov bez preukázaného, zneužiteľného dopadu.
- Chýbajúce bezpečnostné hlavičky, príznaky súborov cookie alebo záznamy na overovanie e-mailov, pokiaľ nepreukážete konkrétny útok.
- Self-XSS, clickjacking na stránkach bez citlivej akcie a prezradenie verzií softvéru.
- Prompty, ktoré prinútia model AI povedať niečo nežiaduce, pokiaľ neprekročia bezpečnostnú hranicu: údaje iného zákazníka, tajný údaj alebo akciu, ktorú používateľ nesmie vykonať.
Ako testovať
- Používajte len účty, ktoré vlastníte, alebo účty, ku ktorým vám vlastník dal písomný súhlas.
- Ak sa dostanete k údajom, ktoré nie sú vaše, prestaňte. Nekopírujte ich, neuchovávajte ani nezdieľajte a uveďte to vo svojom hlásení.
- Robte len to, čo je potrebné na preukázanie problému: žiadne zmeny ani mazanie, žiadne udržiavanie prístupu a žiadny presun do iných systémov.
- Automatizovanú prevádzku udržujte pod 5 požiadavkami za sekundu.
- Nezdieľajte podrobnosti s nikým, kým nevydáme opravu, alebo kým neuplynie 90 dní od vášho hlásenia, podľa toho, čo nastane skôr. Spoločne sa môžeme dohodnúť na inom termíne.
- Nežiadajte platbu výmenou za nezverejnenie. To je vydieranie, nie výskum.
K čomu sa zaväzujeme
- Prijatie potvrdíme do 2 pracovných dní.
- Prvé posúdenie s naším hodnotením závažnosti pošleme do 5 pracovných dní.
- Najmenej raz mesačne vás budeme informovať o postupe, kým problém nevyriešime.
- Dáme vám vedieť, keď bude oprava vydaná, a dohodneme sa s vami, kedy bulletin zverejníme.
- S vaším súhlasom vás uvedieme menom v bulletine a v poďakovaní.
Bezpečný prístav (safe harbour)
- Ak konáte v dobrej viere a dodržiavate tieto pravidlá, váš výskum považujeme za autorizovaný. Nepodnikneme proti vám v súvislosti s ním právne kroky a nepodporíme nikoho, kto by ich podnikol.
- Ak proti vám tretia strana podnikne kroky v súvislosti s výskumom, ktorý dodržiaval tieto pravidlá, dáme najavo, že váš výskum bol autorizovaný.
- Platí to pre systémy, ktoré vlastníme a prevádzkujeme. Nemôžeme autorizovať testy systémov, ktoré patria niekomu inému.
Odmeny
- S vaším súhlasom uvedieme autora každého platného hlásenia.
- Za pôvodný nález vysokej alebo kritickej závažnosti môžeme ponúknuť finančnú odmenu. O tom, či ju ponúkneme, a o jej výške rozhodujeme podľa dopadu a kvality hlásenia. Odmena nie je zaručená.
- Ak ten istý problém nahlási viac ľudí, rozhoduje prvé úplné hlásenie.
- Odmenu nemôžeme vyplatiť tam, kde to zakazuje zákon, ani nikomu, kto porušil tieto pravidlá.