Zásady kybernetické bezpečnosti
DropBG (dropbg.io) • Koordinované zveřejňování zranitelností (CVD)
Zásady
Vážíme si vašeho zájmu pomoci nám zlepšit naši bezpečnost. Dodržujte prosím níže uvedená pravidla, abyste předešli jakýmkoli právním rizikům.
Pokyny pro koordinované zveřejňování zranitelností
- Vyhněte se neoprávněnému sdílení. Během procesu koordinovaného zveřejňování diskutujte o zranitelnosti pouze s dotčeným dodavatelem, vlastníkem systému a námi.
- Dejte čas na opravu. Se zveřejněním zranitelnosti vyčkejte, dokud dotčené strany nebudou mít dostatek času na její odstranění nebo dokud vy a všechny strany — včetně DropBG — nedosáhnete dohody o zveřejnění.
- Omezte interakce na minimum. Poté, co zranitelnost nahlásíte, již s dotčeným systémem během procesu koordinovaného zveřejňování dále neinteragujte.
- Omezte svůj rozsah. Při demonstraci ověření konceptu (PoC) provádějte pouze minimální nezbytné kroky. Nestahujte, neupravujte ani nemažte žádná data nad rámec toho, co je nezbytné.
- Nepřekračujte svá oprávnění. Vyhněte se zvyšování oprávnění nebo zkoumání systému nad rámec minima potřebného pro ověření konceptu. Pro testování používejte pouze vlastní účty a nikdy neextrahujte data jiných uživatelů.
- Používejte etické metody. K získání přístupu do systému nepoužívejte útoky hrubou silou (brute-force) ani techniky sociálního inženýrství.
- Vyhněte se škodlivým akcím. Neprovádějte útoky typu odepření služby (DoS/DDoS) ani neinstalujte malware či viry.
- Uveďte IP adresy. Kdykoli je to možné, uveďte IP adresy, které jste použili během svého výzkumu. Pomáhá nám to vyhodnotit případné zneužití a omezit falešně pozitivní poplachy.
- Sdělte své plány. Pokud máte v úmyslu svá zjištění veřejně publikovat, například v přednášce nebo článku, dejte nám prosím vědět předem.
Co můžete očekávat od našeho programu CVD
- Právní ochrana. Pokud budete dodržovat naše pokyny, jednat v dobré víře a bez zlého úmyslu, nebudete z naší strany čelit občanskoprávním ani trestněprávním krokům za nahlášení zranitelnosti.
- Důvěrnost a anonymita. S vaším hlášením bude nakládáno jako s důvěrným. Můžete se rozhodnout zůstat v anonymitě a vaše osobní údaje nebudeme sdílet s žádnými třetími stranami bez vašeho výslovného souhlasu.
- Uznání. Po vyřešení problému vás rádi uvedeme jménem nebo přezdívkou jako objevitele zranitelnosti.
- Včasná odpověď. Potvrzení o přijetí hlášení obdržíte do 3 pracovních dnů a posouzení problému provedeme do 5 pracovních dnů.
- Komunikace. Budeme vás informovat o postupu opravy zranitelnosti a v případě publikace CVE budeme koordinovat zveřejnění se všemi zúčastněnými stranami.
- Ocenění na Zdi slávy. Jsme nezávislý projekt a nenabízíme finanční odměny (bug bounty). Jako uznání vašeho přínosu rádi uvedeme vaše jméno nebo přezdívku na naší veřejné Bezpečnostní zdi slávy (pokud si nepřejete zůstat v anonymitě).
Chcete-li nahlásit zranitelnost, napište na dropna@pm.me. Náš bezpečnostní soubor podle standardu RFC 9116 je dostupný na adrese /.well-known/security.txt.
Naposledy upraveno 29. září 2026