Πολιτική Αποκάλυψης Ευπαθειών

Η δέσμευσή μας

Λαμβάνουμε σοβαρά υπόψη την ασφάλεια των χρηστών μας και των δεδομένων τους. Χαιρετίζουμε τις αναφορές από ερευνητές ασφαλείας και θα συνεργαστούμε μαζί σας για την κατανόηση και την ταχεία επίλυση οποιουδήποτε προβλήματος. Δεν θα κινηθούμε νομικά εναντίον σας για έρευνα ασφαλείας που διεξάγεται καλόπιστα βάσει αυτής της πολιτικής.

Scope

Στο πεδίο εφαρμογής

• ahaslides.com και τα υποτομείς του (για παράδειγμα presenter.ahaslides.com και audience.ahaslides.com)
• Η διαδικτυακή εφαρμογή AhaSlides, οι εφαρμογές παρουσιαστή και κοινού

Εκτός του πεδίου εφαρμογής

• Δοκιμές άρνησης υπηρεσίας (DoS/DDoS) και ογκομετρικές δοκιμές ή δοκιμές υπερχείλισης κυκλοφορίας
• Κοινωνική μηχανική προσωπικού, χρηστών ή εργολάβων· φυσικές επιθέσεις
• Ανεπιθύμητα μηνύματα ή ευρήματα από αυτοματοποιημένους σαρωτές χωρίς αποδεδειγμένη, εκμεταλλεύσιμη επίδραση
• Αναφορές που επηρεάζουν μόνο μη υποστηριζόμενα ή προγράμματα περιήγησης που έχουν λήξει τον κύκλο ζωής τους
• Υπηρεσίες τρίτων που δεν ελέγχουμε (αυτές θα τις φέρουμε σε επαφή με το τρίτο μέρος)
• Ανοιχτή (μη εξουσιοδοτημένη) πρόσβαση κοινού: η εφαρμογή κοινού επιτρέπει σκόπιμα σε οποιονδήποτε να συμμετάσχει σε μια παρουσίαση και να υποβάλει απαντήσεις χωρίς λογαριασμό ή σύνδεση, έτσι ώστε το κοινό να μπορεί να συμμετέχει ελεύθερα. Οι αναφορές ότι η ροή συμμετοχής ή υποβολής του κοινού δεν διαθέτει έλεγχο ταυτότητας δεν αντιμετωπίζονται ως ευπάθειες.
• Προτάσεις βέλτιστων πρακτικών χωρίς επιπτώσεις στην ασφάλεια (για παράδειγμα, ελλείπουσες κεφαλίδες χωρίς exploit, μικροσκοπικά σφάλματα SPF/DMARC, αυτο-XSS, απόψεις που περιορίζουν τον ρυθμό). Αυτές είναι ευπρόσδεκτες, αλλά δεν αντιμετωπίζονται ως ευπάθειες.

Κανόνες εμπλοκής

Παρακαλούμε do:

• Αναφέρετέ το αμέσως μόλις εντοπίσετε κάποιο πρόβλημα και δώστε μας εύλογο χρονικό διάστημα για να το διορθώσουμε πριν το δημοσιοποιήσετε.
• Χρησιμοποιήστε μόνο τους δικούς σας δοκιμαστικούς λογαριασμούς. Σταματήστε στην απόδειξη της ιδέας.

Παρακαλούμε μην:

• Αποκτήστε πρόσβαση, τροποποιήστε, κατεβάστε ή διαγράψτε δεδομένα που δεν σας ανήκουν. Για να αποδείξετε την πρόσβαση, αρκεί ένα στιγμιότυπο οθόνης ή ένα ελάχιστο, επεξεργασμένο αρχείο, επομένως μην αποσπάτε πραγματικά δεδομένα χρήστη.
• Υποβάθμιση ή διακοπή των υπηρεσιών μας ή εκτέλεση αυτοματοποιημένων επιθέσεων μεγάλου όγκου.
• Δημοσιοποιήστε το πρόβλημα πριν επιβεβαιώσουμε ότι έχει επιλυθεί (βλ. Συντονισμένη αποκάλυψη).

Τρόπος αναφοράς

Ηλεκτρονικό Ταχυδρομείο security@ahaslides.com με:

1. Μια σαφής περιγραφή της ευπάθειας και των επιπτώσεών της.
2. Αναπαραγωγή βήμα προς βήμα, συμπεριλαμβανομένης της επηρεαζόμενης διεύθυνσης URL ή τελικού σημείου.
3. Απόδειξη της ιδέας (στιγμιότυπα οθόνης, ένα σύντομο βίντεο ή ένα ελάχιστο αίτημα), με επιμέλεια.
4. Το όνομά σας ή η διεύθυνση ηλεκτρονικού ταχυδρομείου σας για αναφορά (προαιρετικά).

Τι μπορείτε να περιμένετε από εμάς

• Ευχαριστίες εντός 2 εργάσιμες ημέρες.
• A απόφαση διαλογής (έγκυρο, χρειάζονται περισσότερες πληροφορίες ή εκτός πεδίου εφαρμογής) εντός 5 εργάσιμες ημέρες.
• Τακτικές ενημερώσεις ενώ εργαζόμαστε πάνω σε μια επιδιόρθωση και ειδοποιούμε πότε επιλύεται.
• Δημόσια αναφορά στις αναγνωρίσεις ασφαλείας μας, εάν το επιθυμείτε.

Συντονισμένη αποκάλυψη

Σας ζητάμε να διατηρήσετε τις λεπτομέρειες εμπιστευτικές μέχρι να επιβεβαιώσουμε ότι έχει αναπτυχθεί μια επιδιόρθωση και να συντονίσετε οποιαδήποτε δημόσια δημοσίευση μαζί μας. Το χρονικό παράθυρο διόρθωσης-στόχου μας είναι 90 ημέρες; αν χρειαστούμε περισσότερο χρόνο, θα σας πούμε γιατί.

Αναγνώριση

Η AhaSlides είναι μια αναπτυσσόμενη εταιρεία και δεν εφαρμόζει κάποιο σταθερό, δημοσιευμένο πρόγραμμα αμοιβής. Όταν μια αναφορά είναι έγκυρη, πρωτότυπη και γνωστοποιείται υπεύθυνα, μπορούμε, κατά την κρίση μας, να προσφέρουμε ένα δείγμα εκτίμησης ή/και δημόσιας πίστωσης ως ευχαριστία.

Διπλότυπες αναφορές. Όταν πολλά άτομα αναφέρουν το ίδιο πρόβλημα, το πρώτη αναπαραγώγιμη αναφορά που λαμβάνουμε είναι αυτός που δικαιούται οποιαδήποτε ανταμοιβή. Οι μεταγενέστεροι δημοσιογράφοι του ίδιου τεύχους ενδέχεται να λάβουν δημόσια αναγνώριση εάν προσθέσουν ουσιωδώς νέες πληροφορίες (για παράδειγμα, μια πιο σοβαρή επίπτωση, μια καλύτερη αναπαραγωγή ή μια επιπλέον επηρεασμένη επιφάνεια).

Ήδη γνωστά ζητήματα. Εάν γνωρίζουμε ήδη κάποιο πρόβλημα και το έχουμε καταγράψει εσωτερικά πριν από την άφιξη της αναφοράς σας, θα σας αναγνωρίσουμε και θα σας ευχαριστήσουμε, αλλά δεν θα δικαιούστε ανταμοιβή. Όπως και με τα διπλότυπα, ενδέχεται να προσφέρουμε δημόσια αναφορά σε περίπτωση που η αναφορά σας προσθέτει ουσιωδώς νέες πληροφορίες.

Είμαστε πάντα ευγνώμονες για τη βοήθειά σας στη διατήρηση της ασφάλειας του AhaSlides.