Πολιτική Κυβερνοασφάλειας
DropBG (dropbg.io) • Συντονισμένη Αποκάλυψη Ευπαθειών
Πολιτική
Εκτιμούμε το ενδιαφέρον σας να μας βοηθήσετε να βελτιώσουμε την ασφάλειά μας. Παρακαλούμε ακολουθήστε τους παρακάτω κανόνες για την αποφυγή τυχόν νομικών επιπτώσεων.
Οδηγίες Συντονισμένης Αποκάλυψης Ευπαθειών
- Αποφύγετε τη μη εξουσιοδοτημένη κοινοποίηση. Κατά τη διάρκεια της διαδικασίας συντονισμένης αποκάλυψης, παρακαλούμε να συζητάτε την ευπάθεια μόνο με τον επηρεαζόμενο προμηθευτή, τον ιδιοκτήτη του συστήματος και εμάς.
- Δώστε χρόνο για την επιδιόρθωση. Περιμένετε πριν αποκαλύψετε δημόσια την ευπάθεια μέχρι τα επηρεαζόμενα μέρη να έχουν επαρκή χρόνο για να την αντιμετωπίσουν ή μέχρι εσείς και όλα τα μέρη—συμπεριλαμβανομένου του DropBG—να καταλήξετε σε συμφωνία αποκάλυψης.
- Περιορίστε τις αλληλεπιδράσεις στο ελάχιστο. Αφού αναφέρετε μια ευπάθεια, μην αλληλεπιδράσετε ξανά με το επηρεαζόμενο σύστημα κατά τη διάρκεια της διαδικασίας συντονισμένης αποκάλυψης.
- Περιορίστε το εύρος σας. Κατά την επίδειξη μιας απόδειξης ιδέας (PoC), εκτελέστε μόνο τις ελάχιστες απαραίτητες ενέργειες. Μην κατεβάζετε, τροποποιείτε ή διαγράφετε δεδομένα πέραν αυτών που απαιτούνται.
- Μην υπερβαίνετε την πρόσβασή σας. Αποφύγετε την αναβάθμιση δικαιωμάτων ή την εξερεύνηση ενός συστήματος πέρα από το ελάχιστο που απαιτείται για την απόδειξη της ιδέας σας. Χρησιμοποιείτε μόνο τους δικούς σας λογαριασμούς για δοκιμές και μην υποκλέπτετε ποτέ δεδομένα άλλων χρηστών.
- Χρησιμοποιήστε ηθικές μεθόδους. Μην χρησιμοποιείτε τεχνικές ωμής βίας (brute-force) ή κοινωνικής μηχανικής (social engineering) για να αποκτήσετε πρόσβαση σε ένα σύστημα.
- Αποφύγετε κακόβουλες ενέργειες. Μην πραγματοποιείτε επιθέσεις άρνησης υπηρεσίας (DoS) και μην εγκαθιστάτε κακόβουλο λογισμικό ή ιούς.
- Παρέχετε διευθύνσεις IP. Όποτε είναι δυνατόν, συμπεριλάβετε τις διευθύνσεις IP που χρησιμοποιήσατε κατά την ανακάλυψή σας. Αυτό μας βοηθά να αξιολογήσουμε πιθανή εκμετάλλευση και να μειώσουμε τους ψευδώς θετικούς συναγερμούς.
- Επικοινωνήστε τα σχέδιά σας. Εάν σκοπεύετε να αποκαλύψετε δημόσια τα ευρήματά σας, για παράδειγμα σε μια ομιλία ή ένα άρθρο, παρακαλούμε ενημερώστε μας εκ των προτέρων.
Τι να Περιμένετε από το Πρόγραμμα CVD μας
- Νομική Προστασία. Εφόσον ακολουθείτε τις οδηγίες μας, ενεργείτε καλή τη πίστει και δεν έχετε κακόβουλη πρόθεση, δεν θα αντιμετωπίσετε αστικές ή ποινικές διώξεις από εμάς για την αναφορά μιας ευπάθειας.
- Εμπιστευτικότητα & Ανωνυμία. Η αναφορά σας θα αντιμετωπιστεί ως εμπιστευτική. Μπορείτε να επιλέξετε να παραμείνετε ανώνυμοι και δεν θα κοινοποιήσουμε τα προσωπικά σας δεδομένα σε τρίτους χωρίς τη ρητή συγκατάθεσή σας.
- Αναγνώριση. Θα χαρούμε να σας αναφέρουμε με το όνομα ή το ψευδώνυμό σας ως τον ερευνητή που ανέφερε την ευπάθεια μόλις επιλυθεί το ζήτημα.
- Έγκαιρη Απάντηση. Θα λάβετε επιβεβαίωση της αναφοράς σας εντός 3 εργάσιμων ημερών και θα αξιολογήσουμε το ζήτημα εντός 5 εργάσιμων ημερών.
- Επικοινωνία. Θα σας κρατάμε ενήμερους σχετικά με την πρόοδο της αποκατάστασης της ευπάθειας και, σε περίπτωση δημοσίευσης CVE, θα συντονίσουμε την αποκάλυψη με όλα τα εμπλεκόμενα μέρη.
- Αναγνώριση στο Wall of Fame. Είμαστε ένα ανεξάρτητο έργο και δεν προσφέρουμε χρηματικές αμοιβές (bug bounties). Σε αναγνώριση της συνεισφοράς σας, θα χαρούμε να συμπεριλάβουμε το όνομα ή το ψευδώνυμό σας στο δημόσιο Security Wall of Fame μας (εκτός εάν προτιμάτε να παραμείνετε ανώνυμοι).
Για να αναφέρετε μια ευπάθεια, στείλτε email στο dropna@pm.me. Το αρχείο ασφαλείας RFC 9116 είναι διαθέσιμο στη διεύθυνση /.well-known/security.txt.
Τελευταία τροποποίηση στις 29 Σεπτεμβρίου 2026