Kibernetinio saugumo politika
DropBG (dropbg.io) • Koordinuotas pažeidžiamumų atskleidimas
Politika
Vertiname jūsų susidomėjimą padėti mums pagerinti saugumą. Prašome laikytis žemiau pateiktų taisyklių, kad išvengtumėte bet kokios teisinių pasekmių rizikos.
Koordinuoto pažeidžiamumų atskleidimo gairės
- Venkite neteisėto dalijimosi. Koordinuoto atskleidimo proceso metu pažeidžiamumą aptarkite tik su paveiktu tiekėju, sistemos savininku ir mumis.
- Suteikite laiko ištaisymui. Viešai neatskleiskite pažeidžiamumo, kol paveiktos šalys neturėjo pakankamai laiko jo pašalinti arba kol jūs ir visos šalys, įskaitant DropBG, nepasiekėte susitarimo dėl atskleidimo.
- Sumažinkite sąveiką iki minimumo. Pranešę apie pažeidžiamumą, koordinuoto atskleidimo proceso metu daugiau nesąveikaukite su paveikta sistema.
- Apribokite savo veiksmų apimtį. Demonstruodami koncepcijos įrodymą (PoC), atlikite tik minimalius būtinus veiksmus. Neatsisiųskite, nekeiskite ir neištrinkite jokių duomenų daugiau, nei būtina.
- Neviršykite savo prieigos teisių. Venkite teisių suteikimo sau ar sistemos tyrinėjimo virš minimumo, reikalingo koncepcijos įrodymui. Testavimui naudokite tik savo paskyras ir niekada neišgaukite kitų vartotojų duomenų.
- Naudokite etiškus metodus. Nenaudokite brutalios jėgos (brute-force) ar socialinės inžinerijos metodų, kad gautumėte prieigą prie sistemos.
- Venkite kenkėjiškų veiksmų. Nevykdykite atsisakymo aptarnauti (DoS) atakų ir nediekite kenkėjiškų programų ar virusų.
- Pateikite IP adresus. Kai tik įmanoma, nurodykite IP adresus, kuriuos naudojote tyrimo metu. Tai padeda mums įvertinti galimą išnaudojimą ir sumažinti klaidingų įspėjimų skaičių.
- Praneškite apie savo planus. Jei ketinate viešai paskelbti savo išvadas, pavyzdžiui, pranešime ar straipsnyje, praneškite mums iš anksto.
Ko tikėtis iš mūsų CVD programos
- Teisinė apsauga. Tol, kol laikotės mūsų gairių, elgiatės sąžiningai ir neturite piktavališkų ketinimų, mes nesiimsime prieš jus civilinių ar baudžiamųjų veiksmų už pranešimą apie pažeidžiamumą.
- Konfidencialumas ir anonimiškumas. Jūsų pranešimas bus laikomas konfidencialiu. Galite pasirinkti likti anonimiški, ir mes nesidalinsime jūsų asmens duomenimis su jokiomis trečiosiomis šalimis be jūsų aiškaus sutikimo.
- Pripažinimas. Išsprendus problemą, mielai paminėsime jūsų vardą ar slapyvardį kaip pažeidžiamumo pranešėją.
- Savalaikis atsakymas. Patvirtinimą apie jūsų pranešimą gausite per 3 darbo dienas, o problemą įvertinsime per 5 darbo dienas.
- Komunikacija. Informuosime jus apie pažeidžiamumo šalinimo eigą, o CVE paskelbimo atveju suderinsime atskleidimą su visomis susijusiomis šalimis.
- Wall of Fame pripažinimas. Esame nepriklausomas projektas ir nesiūlome piniginių premijų. Įvertindami jūsų indėlį, mielai įtrauksime jūsų vardą ar slapyvardį į mūsų viešą Saugumo šlovės lentą (Security Wall of Fame), nebent pageidaujate likti anonimiški.
Norėdami pranešti apie pažeidžiamumą, rašykite el. paštu dropna@pm.me. Mūsų RFC 9116 saugumo failas prieinamas adresu /.well-known/security.txt.
Paskutinį kartą keista 2026 m. rugsėjo 29 d.