Политика сајбер безбедности
DropBG (dropbg.io) • Координисано откривање рањивости (CVD)
Политика
Ценимо ваше интересовање да нам помогнете да унапредимо своју безбедност. Молимо вас да се придржавате правила у наставку како бисте умањили сваки ризик од правних последица.
Смернице за координисано откривање рањивости
- Избегавајте неовлашћено дељење. Током процеса координисаног откривања, молимо вас да о рањивости разговарате само са погођеним добављачем, власником система и нама.
- Дајте времена за исправку. Сачекајте са јавним објављивањем рањивости док погођене стране не буду имале довољно времена да је реше, или док ви и све стране — укључујући DropBG — не постигнете договор о објављивању.
- Сведите интеракције на минимум. Након што пријавите рањивост, немојте поново ступати у интеракцију са погођеним системом током процеса координисаног откривања.
- Ограничите свој обим. Приликом демонстрације доказа концепта (PoC), извршите само минималне неопходне радње. Не преузимајте, не мењајте и не бришите никакве податке више него што је потребно.
- Не прекорачујте свој приступ. Избегавајте подизање привилегија или истраживање система изван минимума потребног за доказ концепта. За тестирање користите само сопствене налоге и никада не извлачите податке других корисника.
- Користите етичке методе. Не користите технике грубе силе (brute-force) или социјалног инжењеринга да бисте добили приступ систему.
- Избегавајте злонамерне радње. Не изводите нападе ускраћивања услуге (DoS/DDoS) и не инсталирајте малвер или вирусе.
- Наведите IP адресе. Кад год је то могуће, укључите IP адресе које сте користили током откривања. То нам помаже да проценимо потенцијалну експлоатацију и смањимо лажне узбуне.
- Најавите своје планове. Ако намеравате да јавно објавите своје налазе, на пример у предавању или чланку, молимо вас да нас унапред обавестите.
Шта можете очекивати од нашег CVD програма
- Правна заштита. Све док се придржавате наших смерница, поступате у доброј вери и немате злонамерне намере, нећете се суочити са грађанским или кривичним поступком са наше стране због пријављивања рањивости.
- Поверљивост и анонимност. Ваша пријава ће се третирати као поверљива. Можете изабрати да останете анонимни, а ми нећемо делити ваше личне податке са трећим странама без ваше изричите сагласности.
- Признање. Радо ћемо вас навести именом или надимком као лица које је пријавило рањивост након што се проблем реши.
- Благовремен одговор. Добићете потврду о пријему пријаве у року од 3 радна дана, а процену проблема извршићемо у року од 5 радних дана.
- Комуникација. Обавештаваћемо вас о напретку отклањања рањивости, а у случају објављивања CVE-а координисаћемо откривање са свим укљученим странама.
- Признање на Зиду славних. Ми смо независни пројекат и не нудимо новчане награде (bug bounty). У знак захвалности за ваш допринос, радо ћемо истаћи ваше име или надимак на нашем јавном Зиду славних за безбедност (осим ако желите да останете анонимни).
Да бисте пријавили рањивост, пошаљите имејл на dropna@pm.me. Наша RFC 9116 безбедносна датотека доступна је на /.well-known/security.txt.
Последња измена: 29. септембар 2026.