นโยบายความปลอดภัยทางไซเบอร์

แนวทางการเปิดเผยช่องโหว่ร่วมกัน (CVD)

• หลีกเลี่ยงการแชร์โดยไม่ได้รับอนุญาต ในระหว่างกระบวนการเปิดเผยข้อมูลร่วมกัน โปรดพูดคุยเกี่ยวกับช่องโหว่เฉพาะกับผู้ให้บริการที่ได้รับผลกระทบ เจ้าของระบบ และเราเท่านั้น
• ให้เวลาในการแก้ไข โปรดรอจนกว่าฝ่ายที่ได้รับผลกระทบจะมีเวลาเพียงพอในการแก้ไขช่องโหว่ หรือจนกว่าคุณและทุกฝ่าย—รวมถึง DropBG—จะบรรลุข้อตกลงในการเปิดเผยข้อมูลก่อนที่จะเปิดเผยต่อสาธารณะ
• โต้ตอบกับระบบให้น้อยที่สุด หลังจากที่คุณรายงานช่องโหว่แล้ว โปรดอย่าโต้ตอบกับระบบที่ได้รับผลกระทบอีกในระหว่างกระบวนการเปิดเผยข้อมูลร่วมกัน
• จำกัดขอบเขตการทดสอบของคุณ เมื่อสาธิตแนวคิดการพิสูจน์ (Proof of Concept) โปรดดำเนินการเฉพาะเท่าที่จำเป็นขั้นต่ำเท่านั้น ห้ามดาวน์โหลด แก้ไข หรือลบข้อมูลใดๆ เกินกว่าที่จำเป็น
• ห้ามใช้งานเกินสิทธิ์การเข้าถึงของคุณ หลีกเลี่ยงการยกระดับสิทธิ์หรือสำรวจระบบเกินกว่าขั้นต่ำที่จำเป็นสำหรับการพิสูจน์แนวคิดของคุณ ใช้เฉพาะบัญชีของคุณเองในการทดสอบและห้ามดึงข้อมูลของผู้ใช้รายอื่นออกมาโดยเด็ดขาด
• ใช้วิธีการที่มีจริยธรรม ห้ามใช้เทคนิคการเดารหัสผ่านแบบสุ่ม (Brute-force) หรือวิศวกรรมสังคม (Social Engineering) เพื่อเข้าถึงระบบ
• หลีกเลี่ยงการกระทำที่เป็นอันตราย ห้ามทำการโจมตีเพื่อปฏิเสธการให้บริการ (DDoS) หรือติดตั้งมัลแวร์หรือไวรัส
• ระบุที่อยู่ IP หากเป็นไปได้ โปรดระบุที่อยู่ IP ที่คุณใช้ในระหว่างการค้นพบช่องโหว่ ข้อมูลนี้จะช่วยให้เราประเมินการแสวงหาประโยชน์ที่อาจเกิดขึ้นและลดการแจ้งเตือนที่ผิดพลาดได้
• แจ้งแผนการของคุณให้เราทราบ หากคุณตั้งใจที่จะเปิดเผยสิ่งที่ค้นพบต่อสาธารณะ เช่น ในการบรรยายหรือบทความ โปรดแจ้งให้เราทราบล่วงหน้า