Kiberdrošības politika
DropBG (dropbg.io) • Koordinēta ievainojamību atklāšana
Politika
Mēs novērtējam jūsu interesi palīdzēt mums uzlabot drošību. Lūdzu, ievērojiet tālāk minētos noteikumus, lai mazinātu jebkādu juridisko seku risku.
Koordinētas ievainojamību atklāšanas vadlīnijas
- Izvairieties no nesankcionētas izpaušanas. Koordinētā atklāšanas procesa laikā, lūdzu, apspriediet ievainojamību tikai ar skarto piegādātāju, sistēmas īpašnieku un mums.
- Dodiet laiku labošanai. Atlieciet ievainojamības publisku atklāšanu, līdz iesaistītajām pusēm ir bijis pietiekami daudz laika to novērst vai līdz jūs un visas puses — tostarp DropBG — esat panākuši vienošanos par atklāšanu.
- Samaziniet mijiedarbību līdz minimumam. Pēc tam, kad esat ziņojis par ievainojamību, koordinētā atklāšanas procesa laikā vairs nemijiedarbojieties ar skarto sistēmu.
- Ierobežojiet darbības apjomu. Demonstrējot koncepcijas pierādījumu (PoC), veiciet tikai minimāli nepieciešamās darbības. Nelejupielādējiet, nemodificējiet un nedzēsiet nekādus datus vairāk, nekā nepieciešams.
- Nepārsniedziet savas piekļuves tiesības. Izvairieties no privilēģiju paaugstināšanas vai sistēmas izpētes virs minimuma, kas nepieciešams jūsu koncepcijas pierādījumam. Testēšanai izmantojiet tikai savus kontus un nekad neizgūstiet citu lietotāju datus.
- Izmantojiet ētiskas metodes. Neizmantojiet pilnās pārlases (brute-force) vai sociālās inženierijas metodes, lai iegūtu piekļuvi sistēmai.
- Izvairieties no ļaunprātīgām darbībām. Neveiciet pakalpojuma atteices uzbrukumus un neinstalējiet ļaunprātīgu programmatūru vai vīrusus.
- Norādiet IP adreses. Ja iespējams, iekļaujiet IP adreses, kuras izmantojāt atklāšanas laikā. Tas palīdz mums novērtēt iespējamo izmantošanu un samazināt viltus trauksmes.
- Paziņojiet par saviem plāniem. Ja plānojat publiski izpaust savus atklājumus, piemēram, prezentācijā vai rakstā, lūdzu, informējiet mūs par to iepriekš.
Ko sagaidīt no mūsu CVD programmas
- Juridiskā aizsardzība. Kamēr jūs ievērojat mūsu vadlīnijas, rīkojaties godprātīgi un jums nav ļaunprātīgu nodomu, mēs pret jums nevērsīsim civiltiesiskas vai krimināltiesiskas darbības par ziņošanu par ievainojamību.
- Konfidencialitāte un anonimitāte. Jūsu ziņojums tiks apstrādāts konfidenciāli. Jūs varat izvēlēties palikt anonīms, un mēs neizpaudīsim jūsu personas datus trešajām pusēm bez jūsu skaidras piekrišanas.
- Atzinība. Kad problēma būs atrisināta, mēs labprāt norādīsim jūsu vārdu vai segvārdu kā ievainojamības ziņotāju.
- Savlaicīga atbilde. Jūs saņemsiet apstiprinājumu par savu ziņojumu 3 darba dienu laikā, un mēs izvērtēsim problēmu 5 darba dienu laikā.
- Komunikācija. Mēs informēsim jūs par ievainojamības novēršanas gaitu, un CVE publikācijas gadījumā saskaņosim atklāšanu ar visām iesaistītajām pusēm.
- Wall of Fame atzinība. Mēs esam neatkarīgs projekts un nepiedāvājam naudas atlīdzību. Novērtējot jūsu ieguldījumu, mēs labprāt iekļausim jūsu vārdu vai lietotājvārdu mūsu publiskajā Drošības slavas zālē (Security Wall of Fame), ja vien nevēlaties palikt anonīms.
Lai ziņotu par ievainojamību, rakstiet uz e-pastu dropna@pm.me. Mūsu RFC 9116 drošības fails ir pieejams vietnē /.well-known/security.txt.
Pēdējo reizi mainīts 2026. gada 29. septembrī