Kiberbiztonsági szabályzat
DropBG (dropbg.io) • Koordinált sérülékenység-közzététel
Szabályzat
Nagyra értékeljük érdeklődését biztonságunk javítása iránt. Kérjük, kövesse az alábbi szabályokat a jogi következmények kockázatának elkerülése érdekében.
Koordinált sérülékenység-közzétételi irányelvek
- Kerülje a jogosulatlan megosztást. A koordinált közzétételi folyamat során kérjük, csak az érintett gyártóval, a rendszer tulajdonosával és velünk vitassa meg a sérülékenységet.
- Adjon időt a javításra. Várjon a sérülékenység nyilvános közzétételével, amíg az érintett feleknek elegendő idejük volt a javításra, vagy amíg Ön és minden érintett fél – beleértve a DropBG-t is – közzétételi megállapodásra nem jutott.
- Minimalizálja az interakciókat. Miután jelentett egy sérülékenységet, a koordinált közzétételi folyamat során ne lépjen újra interakcióba az érintett rendszerrel.
- Korlátozza a hatókört. A koncepció bizonyításakor (PoC) csak a szükséges minimális műveleteket végezze el. Ne töltsön le, ne módosítson és ne töröljön semmilyen adatot a szükségesen túl.
- Ne lépje túl a jogosultságait. Kerülje a jogosultságok kiterjesztését vagy a rendszer feltérképezését a koncepció bizonyításához szükséges minimumon túl. Teszteléshez csak saját fiókjait használja, és soha ne szivárogtassa ki más felhasználók adatait.
- Használjon etikus módszereket. Ne használjon brute-force vagy pszichológiai manipulációs (social engineering) technikákat a rendszerhez való hozzáférés megszerzéséhez.
- Kerülje a rosszindulatú műveleteket. Ne hajtson végre szolgáltatásmegtagadási (DoS) támadásokat, és ne telepítsen kártékony programokat vagy vírusokat.
- Adja meg az IP-címeket. Amikor csak lehetséges, adja meg a felfedezés során használt IP-címeket. Ez segít nekünk felmérni az esetleges kihasználást és csökkenteni a téves riasztásokat.
- Tájékoztasson a terveiről. Ha eredményeit nyilvánosan közzé kívánja tenni – például egy előadásban vagy cikkben –, kérjük, előre jelezze nekünk.
Mit várhat a CVD programunktól
- Jogi védelem. Mindaddig, amíg betartja irányelveinket, jóhiszeműen jár el és nincs rosszindulatú szándéka, nem indítunk polgári vagy büntetőjogi eljárást Ön ellen a sérülékenység bejelentése miatt.
- Titoktartás és anonimitás. Jelentését bizalmasan kezeljük. Dönthet úgy, hogy névtelen marad, és kifejezett hozzájárulása nélkül nem osztjuk meg személyes adatait harmadik felekkel.
- Elismerés. A probléma megoldása után örömmel feltüntetjük nevét vagy becenevét a sérülékenység bejelentőjeként.
- Időbeni válasz. Bejelentéséről 3 munkanapon belül visszaigazolást kap, és a problémát 5 munkanapon belül kivizsgáljuk.
- Kommunikáció. Folyamatosan tájékoztatjuk a sérülékenység javításának előrehaladásáról, CVE-közzététel esetén pedig minden érintett féllel összehangoljuk a nyilvánosságra hozatalt.
- Dicsőségfal (Wall of Fame) elismerés. Független projekt vagyunk, és nem kínálunk pénzbeli jutalmat (bug bounty). Hozzájárulása elismeréseként örömmel feltüntetjük nevét vagy felhasználónevét nyilvános Biztonsági Dicsőségfalunkon (kivéve, ha névtelen kíván maradni).
Sérülékenység bejelentéséhez írjon e-mailt a következő címre: dropna@pm.me. RFC 9116 biztonsági fájlunk elérhető itt: /.well-known/security.txt.
Utoljára módosítva: 2026. szeptember 29.