Kyberturvallisuuskäytäntö
DropBG (dropbg.io) • Koordinoitu haavoittuvuuksien ilmoittaminen
Käytäntö
Arvostamme kiinnostustasi auttaa meitä parantamaan tietoturvaamme. Noudata alla olevia sääntöjä oikeudellisten seuraamusten riskin välttämiseksi.
Koordinoidun haavoittuvuuksien ilmoittamisen ohjeet
- Vältä luvatonta jakamista. Keskustele haavoittuvuudesta koordinoidun ilmoitusprosessin aikana vain asianomaisen toimittajan, järjestelmän omistajan ja meidän kanssamme.
- Anna aikaa korjaukselle. Odota haavoittuvuuden julkista julkistamista, kunnes asianomaisilla osapuolilla on ollut riittävästi aikaa korjata se tai kunnes sinä ja kaikki osapuolet – mukaan lukien DropBG – olette päässeet sopimukseen julkistamisesta.
- Pidä vuorovaikutus minimissä. Kun olet ilmoittanut haavoittuvuudesta, älä ole enää vuorovaikutuksessa kyseisen järjestelmän kanssa koordinoidun ilmoitusprosessin aikana.
- Rajaa laajuus. Kun esität konseptitodistuksen (PoC), suorita vain välttämättömät vähimmäistoimenpiteet. Älä lataa, muokkaa tai poista mitään tietoja enempää kuin on tarpeen.
- Älä ylitä käyttöoikeuksiasi. Vältä käyttöoikeuksien laajentamista tai järjestelmän tutkimista konseptitodistukseen tarvittavaa vähimmäismäärää pidemmälle. Käytä testaukseen vain omia tilejäsi äläkä koskaan vie muiden käyttäjien tietoja.
- Käytä eettisiä menetelmiä. Älä käytä väkisinmurtautumis- (brute-force) tai käyttäjän manipulointitekniikoita (social engineering) päästäksesi järjestelmään.
- Vältä haitallisia toimia. Älä tee palvelunestohyökkäyksiä äläkä asenna haittaohjelmia tai viruksia.
- Ilmoita IP-osoitteet. Ilmoita mahdollisuuksien mukaan löydöksesi aikana käyttämäsi IP-osoitteet. Tämä auttaa meitä arvioimaan mahdollista hyväksikäyttöä ja vähentämään vääriä hälytyksiä.
- Kerro suunnitelmistasi. Jos aiot julkistaa havaintosi esimerkiksi esitelmässä tai artikkelissa, ilmoita siitä meille etukäteen.
Mitä voit odottaa CVD-ohjelmaltamme
- Oikeudellinen suoja. Niin kauan kuin noudatat ohjeitamme, toimit vilpittömässä mielessä etkä toimi vahingoittamistarkoituksessa, emme ryhdy siviili- tai rikosoikeudellisiin toimiin sinua vastaan haavoittuvuuden ilmoittamisesta.
- Luottamuksellisuus ja anonymiteetti. Ilmoitustasi käsitellään luottamuksellisena. Voit halutessasi pysyä nimettömänä, emmekä jaa henkilötietojasi kolmansille osapuolille ilman nimenomaista suostumustasi.
- Tunnustus. Mainitsemme sinut mielellämme nimellä tai nimimerkillä haavoittuvuuden ilmoittajana, kun ongelma on ratkaistu.
- Nopea vastaus. Saat vahvistuksen ilmoituksestasi 3 arkipäivän kuluessa, ja arvioimme ongelman 5 arkipäivän kuluessa.
- Viestintä. Pidämme sinut ajan tasalla haavoittuvuuden korjaamisen edistymisestä, ja CVE-julkaisun tapauksessa koordinoimme julkistamisen kaikkien osapuolten kanssa.
- Wall of Fame -tunnustus. Olemme itsenäinen projekti emmekä tarjoa rahallisia palkkioita. Kiitoksena panoksestasi lisäämme mielellämme nimesi tai nimimerkkisi julkiselle Security Wall of Fame -kunniaseinällemme (ellet halua pysyä nimettömänä).
Ilmoittaaksesi haavoittuvuudesta lähetä sähköpostia osoitteeseen dropna@pm.me. RFC 9116 -tietoturvatiedostomme on saatavilla osoitteessa /.well-known/security.txt.
Viimeksi muokattu 29. syyskuuta 2026