Politika kibernetičke sigurnosti
DropBG (dropbg.io) • Koordinirano otkrivanje ranjivosti
Politika
Cijenimo vaš interes da nam pomognete poboljšati našu sigurnost. Molimo slijedite pravila u nastavku kako biste ublažili svaki rizik od pravnih posljedica.
Smjernice za koordinirano otkrivanje ranjivosti
- Izbjegavajte neovlašteno dijeljenje. Tijekom procesa koordiniranog otkrivanja, o ranjivosti razgovarajte samo s pogođenim dobavljačem, vlasnikom sustava i nama.
- Dajte vremena za popravak. Pričekajte s javnim objavljivanjem ranjivosti dok pogođene strane ne dobiju dovoljno vremena da je riješe ili dok vi i sve strane — uključujući DropBG — ne postignete dogovor o objavi.
- Svedite interakcije na minimum. Nakon što prijavite ranjivost, nemojte ponovno stupati u interakciju s pogođenim sustavom tijekom procesa koordiniranog otkrivanja.
- Ograničite svoj opseg. Prilikom demonstracije dokaza koncepta (Proof of Concept), izvršite samo minimalno potrebne radnje. Nemojte preuzimati, mijenjati niti brisati podatke izvan onoga što je nužno.
- Ne prekoračujte svoj pristup. Izbjegavajte podizanje ovlasti ili istraživanje sustava izvan minimuma potrebnog za vaš dokaz koncepta. Za testiranje koristite samo vlastite račune i nikada ne izvlačite podatke drugih korisnika.
- Koristite etičke metode. Nemojte koristiti tehnike grube sile (brute-force) ili socijalnog inženjeringa kako biste dobili pristup sustavu.
- Izbjegavajte zlonamjerne radnje. Nemojte provoditi napade uskraćivanjem usluge (DoS) niti instalirati zlonamjerni softver ili viruse.
- Navedite IP adrese. Kad god je to moguće, navedite IP adrese koje ste koristili tijekom otkrivanja. To nam pomaže procijeniti potencijalno iskorištavanje i smanjiti lažno pozitivna upozorenja.
- Komunicirajte svoje planove. Ako namjeravate javno objaviti svoja otkrića, primjerice u predavanju ili članku, obavijestite nas unaprijed.
Što možete očekivati od našeg CVD programa
- Pravna zaštita. Sve dok slijedite naše smjernice, djelujete u dobroj vjeri i nemate zlonamjerne namjere, nećete se suočiti s građanskim ili kaznenim postupkom s naše strane zbog prijave ranjivosti.
- Povjerljivost i anonimnost. Vaša će se prijava tretirati kao povjerljiva. Možete odabrati da ostanete anonimni, a mi nećemo dijeliti vaše osobne podatke ni s jedom trećom stranom bez vaše izričite privole.
- Priznanje. Rado ćemo vas navesti imenom ili nadimkom kao osobu koja je prijavila ranjivost nakon što se problem riješi.
- Pravovremeni odgovor. Potvrdu o prijavi primit ćete u roku od 3 radna dana, a problem ćemo procijeniti u roku od 5 radnih dana.
- Komunikacija. Obavještavat ćemo vas o napretku rješavanja ranjivosti, a u slučaju objave CVE-a, koordinirat ćemo objavu sa svim uključenim stranama.
- Priznanje na Zidu slavnih (Wall of Fame). Mi smo neovisni projekt i ne nudimo novčane nagrade (bug bounty). Kao priznanje za vaš doprinos, rado ćemo istaknuti vaše ime ili nadimak na našem javnom Sigurnosnom zidu slavnih (osim ako želite ostati anonimni).
Za prijavu ranjivosti pošaljite e-poruku na dropna@pm.me. Naša RFC 9116 sigurnosna datoteka dostupna je na /.well-known/security.txt.
Zadnja izmjena 29. rujna 2026.