Politika kibernetske varnosti
DropBG (dropbg.io) • Usklajeno razkrivanje ranljivosti
Politika
Cenimo vaše zanimanje, da nam pomagate izboljšati našo varnost. Prosimo, upoštevajte spodnja pravila, da zmanjšate tveganje kakršnih koli pravnih posledic.
Smernice za usklajeno razkrivanje ranljivosti
- Izogibajte se nepooblaščenemu deljenju. Med postopkom usklajenega razkrivanja se o ranljivosti pogovarjajte le s prizadetim ponudnikom, lastnikom sistema in nami.
- Dajte čas za popravek. Z javnim razkritjem ranljivosti počakajte, dokler prizadete strani nimajo dovolj časa za njeno odpravo ali dokler vi in vse strani — vključno z DropBG — ne dosežete dogovora o razkritju.
- Omejite interakcije na minimum. Ko prijavite ranljivost, med postopkom usklajenega razkrivanja ne komunicirajte več s prizadetim sistemom.
- Omejite svoj obseg. Pri prikazu dokaza koncepta (Proof of Concept) izvedite le minimalna potrebna dejanja. Ne prenašajte, spreminjajte ali brišite nobenih podatkov prek tistega, kar je nujno potrebno.
- Ne prekoračite svojega dostopa. Izogibajte se zviševanju pravic ali raziskovanju sistema prek minimuma, potrebnega za vaš dokaz koncepta. Za testiranje uporabljajte samo lastne račune in nikoli ne odtujujte podatkov drugih uporabnikov.
- Uporabljajte etične metode. Za pridobitev dostopa do sistema ne uporabljajte napadov s surovo silo (brute-force) ali tehnik socialnega inženiringa.
- Izogibajte se zlonamernim dejanjem. Ne izvajajte napadov za zavrnitev storitve (DoS) in ne nameščajte zlonamerne programske opreme ali virusov.
- Navedite IP-naslove. Kadar koli je mogoče, vključite IP-naslove, ki ste jih uporabili med odkrivanjem. To nam pomaga oceniti morebitno zlorabo in zmanjšati število lažno pozitivnih opozoril.
- Sporočite svoje načrte. Če nameravate svoje ugotovitve javno razkriti, na primer v predavanju ali članku, nas o tem prosimo obvestite vnaprej.
Kaj lahko pričakujete od našega programa CVD
- Pravno varstvo. Dokler upoštevate naše smernice, ravnate v dobri veri in nimate zlonamernih namenov, z naše strani ne boste deležni civilnih ali kazenskih postopkov zaradi prijave ranljivosti.
- Zaupnost in anonimnost. Vaša prijava bo obravnavana zaupno. Lahko se odločite, da ostanete anonimni, vaših osebnih podatkov pa brez vašega izrecnega soglasja ne bomo delili z nobenimi tretjimi osebami.
- Priznanje. Z veseljem vas bomo navedli z imenom ali vzdevkom kot prijavitelja ranljivosti, ko bo težava odpravljena.
- Pravočasen odziv. Potrditev prijave boste prejeli v 3 delovnih dneh, težavo pa bomo ocenili v 5 delovnih dneh.
- Komunikacija. Obveščali vas bomo o napredku pri odpravljanju ranljivosti, v primeru objave CVE pa bomo razkritje uskladili z vsemi vpletenimi stranmi.
- Priznanje na Zidu slavnih (Wall of Fame). Smo neodvisen projekt in ne ponujamo denarnih nagrad (bug bounty). V zahvalo za vaš prispevek bomo z veseljem objavili vaše ime ali vzdevek na našem javnem Varnostnem zidu slavnih (razen če želite ostati anonimni).
Za prijavo ranljivosti pošljite e-pošto na dropna@pm.me. Naša varnostna datoteka po standardu RFC 9116 je na voljo na /.well-known/security.txt.
Zadnja sprememba: 29. september 2026