Politika kybernetickej bezpečnosti
DropBG (dropbg.io) • Koordinované zverejňovanie zraniteľností
Politika
Vážime si váš záujem pomôcť nám zlepšiť našu bezpečnosť. Dodržiavajte prosím nižšie uvedené pravidlá, aby ste predišli akémukoľvek riziku právnych dôsledkov.
Pokyny pre koordinované zverejňovanie zraniteľností
- Vyhnite sa neoprávnenému zdieľaniu. Počas procesu koordinovaného zverejňovania diskutujte o zraniteľnosti iba s dotknutým dodávateľom, vlastníkom systému a nami.
- Doprajte čas na opravu. So zverejnením zraniteľnosti počkajte, kým dotknuté strany nebudú mať dostatok času na jej odstránenie, alebo kým vy a všetky strany – vrátane DropBG – nedosiahnete dohodu o zverejnení.
- Obmedzte interakcie na minimum. Po nahlásení zraniteľnosti už počas procesu koordinovaného zverejňovania s dotknutým systémom ďalej neinteragujte.
- Obmedzte svoj rozsah. Pri demonštrácii dôkazu konceptu (Proof of Concept) vykonajte iba minimálne nevyhnutné kroky. Nesťahujte, neupravujte ani nemažte žiadne údaje nad rámec toho, čo je nevyhnutné.
- Neprekračujte svoje oprávnenia. Vyhnite sa zvyšovaniu oprávnení alebo skúmaniu systému nad rámec minima potrebného pre váš dôkaz konceptu. Na testovanie používajte iba vlastné účty a nikdy neexfiltrujte údaje iných používateľov.
- Používajte etické metódy. Na získanie prístupu do systému nepoužívajte útoky hrubou silou (brute-force) ani techniky sociálneho inžinierstva.
- Vyhnite sa škodlivým akciám. Nevykonávajte útoky odopretia služby (DoS) ani neinštalujte malvér či vírusy.
- Uveďte IP adresy. Kedykoľvek je to možné, uveďte IP adresy, ktoré ste použili počas svojho zisťovania. Pomáha nám to posúdiť prípadné zneužitie a znížiť počet falošne pozitívnych upozornení.
- Komunikujte svoje plány. Ak máte v úmysle svoje zistenia verejne publikovať, napríklad v prednáške alebo článku, dajte nám prosím vedieť vopred.
Čo môžete očakávať od nášho programu CVD
- Právna ochrana. Pokiaľ budete dodržiavať naše pokyny, konať v dobrej viere a bez škodlivého úmyslu, nebudete z našej strany čeliť občianskoprávnym ani trestnoprávnym krokom za nahlásenie zraniteľnosti.
- Dôvernosť a anonymita. S vaším hlásením sa bude zaobchádzať ako s dôverným. Môžete sa rozhodnúť zostať v anonymite a vaše osobné údaje nebudeme zdieľať so žiadnymi tretími stranami bez vášho výslovného súhlasu.
- Uznanie. Po vyriešení problému vás radi uvedieme menom alebo prezývkou ako objaviteľa zraniteľnosti.
- Včasná odpoveď. Potvrdenie o prijatí hlásenia dostanete do 3 pracovných dní a problém posúdime do 5 pracovných dní.
- Komunikácia. Budeme vás informovať o postupe odstraňovania zraniteľnosti a v prípade publikovania CVE budeme koordinovať zverejnenie so všetkými zainteresovanými stranami.
- Uvedenie na Sieni slávy (Wall of Fame). Sme nezávislý projekt a neponúkame finančné odmeny (bug bounty). Ako prejav uznania za váš príspevok radi uvedieme vaše meno alebo prezývku na našej verejnej Bezpečnostnej sieni slávy (pokiaľ sa nerozhodnete zostať v anonymite).
Ak chcete nahlásiť zraniteľnosť, pošlite e-mail na adresu dropna@pm.me. Náš bezpečnostný súbor podľa štandardu RFC 9116 je dostupný na /.well-known/security.txt.
Naposledy upravené 29. septembra 2026