Küberturvalisuse poliitika
DropBG (dropbg.io) • Koordineeritud haavatavuste avalikustamine
Poliitika
Hindame teie huvi aidata meil oma turvalisust parandada. Palun järgige allolevaid reegleid, et vähendada õiguslike tagajärgede riski.
Koordineeritud haavatavuste avalikustamise juhised
- Vältige volitamata jagamist. Koordineeritud avalikustamisprotsessi ajal arutage haavatavust ainult mõjutatud tarnija, süsteemi omaniku ja meiega.
- Andke aega parandamiseks. Oodake haavatavuse avaliku avalikustamisega, kuni asjaomastel osapooltel on olnud piisavalt aega selle kõrvaldamiseks või kuni teie ja kõik osapooled – sealhulgas DropBG – olete jõudnud avalikustamiskokkuleppele.
- Hoidke sekkumine minimaalsena. Pärast haavatavusest teatamist ärge suhelge mõjutatud süsteemiga koordineeritud avalikustamisprotsessi ajal uuesti.
- Piirake oma ulatust. Kontseptsiooni tõestuse (PoC) demonstreerimisel tehke ainult minimaalsed vajalikud toimingud. Ärge laadige alla, muutke ega kustutage andmeid rohkem, kui on vajalik.
- Ärge ületage oma juurdepääsuõigusi. Vältige õiguste suurendamist või süsteemi uurimist üle kontseptsiooni tõestamiseks vajaliku miinimumi. Kasutage testimiseks ainult enda kontosid ja ärge kunagi laadige alla teiste kasutajate andmeid.
- Kasutage eetilisi meetodeid. Ärge kasutage süsteemile juurdepääsu saamiseks toore jõu (brute-force) ega sotsiaalse manipulatsiooni tehnikaid.
- Vältige pahatahtlikke tegevusi. Ärge viige läbi teenusetõkestusründeid ega installige pahavara või viiruseid.
- Esitage IP-aadressid. Võimaluse korral lisage avastamise käigus kasutatud IP-aadressid. See aitab meil hinnata võimalikku ärakasutamist ja vähendada valehäireid.
- Teavitage oma plaanidest. Kui kavatsete oma leiud avalikustada, näiteks ettekandes või artiklis, andke meile sellest eelnevalt teada.
Mida oodata meie CVD-programmist
- Õiguslik kaitse. Niikaua kui järgite meie juhiseid, tegutsete heas usus ja teil pole pahatahtlikke kavatsusi, ei algata me teie vastu haavatavusest teatamise eest tsiviil- ega kriminaalmenetlust.
- Konfidentsiaalsus ja anonüümsus. Teie teadet käsitletakse konfidentsiaalsena. Võite jääda anonüümseks ning me ei jaga teie isikuandmeid kolmandate osapooltega ilma teie selgesõnalise nõusolekuta.
- Tunnustamine. Märgime teid pärast probleemi lahendamist hea meelega nime või varjunimega haavatavusest teatajana.
- Õigeaegne vastus. Saate oma teate kättesaamise kinnituse 3 tööpäeva jooksul ning hindame probleemi 5 tööpäeva jooksul.
- Suhtlus. Hoiame teid kursis haavatavuse parandamise edenemisega ning CVE avaldamise korral koordineerime avalikustamist kõigi asjaosalistega.
- Wall of Fame tunnustus. Oleme sõltumatu projekt ega paku rahalisi preemiaid. Tänutäheks teie panuse eest lisame teie nime või kasutajanime hea meelega meie avalikule turvalisuse autahvlile (Security Wall of Fame), välja arvatud juhul, kui eelistate jääda anonüümseks.
Haavatavusest teatamiseks saatke e-kiri aadressile dropna@pm.me. Meie RFC 9116 turvafail on saadaval aadressil /.well-known/security.txt.
Viimati muudetud 29. septembril 2026